【高危漏洞预警】Fortinet FortiWeb命令注入漏洞CVE-2025-58034

cexlife

飓风网络安全

2025年11月20日 17:47

漏洞描述:

Fоrtinеt FоrtiＷеb是一款由Fоrtinеt公司开发的网络应用防火墙,用于保护 Wеb 应用免受攻击该漏洞源于FоrtiWеb 在解析用户输入的某些CLI命令参数时未做充分过滤,经过身份验证的攻击者通过精心构造的HTTP请求或 CLI 命令可以在底层系统上执行未经授权的命令,需要注意该漏洞可结合Fоrtinеt FоrtiWеb身份认证绕过漏洞(CVE-2025-64446)构成攻击链,成功利用后可在目标系统上远程执行任意命令

攻击场景:

攻击者需具备已验证的身份（如管理员或合法用户权限）通过构造恶意的HTTP请求或在命令行接口（CLI）中输入特制命令,利用未正确过滤的输入参数触发系统命令注入,从而在底层操作系统上执行任意代码

影响产品:

1、 8.0.0 <= FortiWeb <= 8.0.1

2、 7.6.0 <= FortiWeb <= 7.6.5

3、 7.4.0 <= FortiWeb <= 7.4.10

4、 7.2.0 <= FortiWeb <= 7.2.11

5、 7.0.0 <= FortiWeb <= 7.0.11

修复建议:

补丁名称:

Fоrtinеt FоrtiWеb命令执行漏洞-至官网在线更新最新版本8.0.2付费

文件链接:

https://www.fortinet.com/cn/products/web-application-firewall/fortiweb