Fortinet FortiWeb 7.0.x < 7.0.11, 7.2.x < 7.2.11, 7.4.x < 7.4.8, 7.6.x < 7.6.4 is vulnerable to a pre-authentication SQL injection that can lead to remote code execution. By leveraging this vulnerability, a remote and unauthenticated attacker can inject malicious SQL queries into the FortiWeb Fabric Connector and fully compromise the affected system.

Fortinet FortiWeb 7.0.x (7.0.11 より前)、7.2.x (7.2.11 より前)、7.4.x (7.4.8 より前)、7.6.x (7.6.4 より前) は、事前認証 SQL インジェクションに脆弱であり、リモートコードの実行を引き起こす可能性があります。この脆弱性を悪用することで、リモートの認証されていない攻撃者が悪意のある SQL クエリを FortiWeb Fabric Connector に挿入し、影響を受けるシステムを完全に侵害する可能性があります。

Fortinet FortiWeb 7.0.x < 7.0.11、7.2.x < 7.2.11、7.4.x < 7.4.8、7.6.x < 7.6.4 容易受到會導致遠端程式碼執行的預先驗證 SQL 插入攻擊影響。未經驗證的遠端攻擊者會利用此弱點，將惡意 SQL 查詢插入 FortiWeb Fabric Connector，並完全入侵受影響的系統。

Fortinet FortiWeb 7.0.x < 7.0.11、7.2.x < 7.2.11、7.4.x < 7.4.8、7.6.x < 7.6.4 容易受到预身份验证 SQL 注入的影响，此漏洞可导致远程代码执行。通过利用此漏洞，未经身份验证的远程攻击者可以将恶意 SQL 查询注入 FortiWeb Fabric Connector，并完全破坏受影响的系统。

遠端主機上安裝的 FortiWeb 低於測試版本，因此，它受到 FG-IR-25-151 公告中提及的一個弱點影響。

  - 在 FortiWeb 中發現 SQL 指令中使用的特殊元素中和不當 (「SQL注入」) 漏洞 [CWE-89]，可能允許未認證的攻擊者透過製作的HTTP或HTTPs請求執行未經授權的SQL程式碼或指令。(CVE-2025-25257)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The version of FortiWeb installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the FG-IR-25-151 advisory.

  - An improper neutralization of special elements used in an SQL command ('SQL Injection') vulnerability     [CWE-89] in FortiWeb may allow an unauthenticated attacker to execute unauthorized SQL code or commands     via crafted HTTP or HTTPs requests. (CVE-2025-25257)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている FortiWeb のバージョンは、テスト済みバージョンより前です。したがって、FG-IR-25-151 のアドバイザリに記載されている脆弱性の影響を受けます。

  - FortiWeb の SQL コマンドで使用される特別な要素の不適切な無効化 (「SQL インジェクション」) の脆弱性 [CWE-89] により、認証されていない攻撃者が細工した HTTP または HTTPs リクエストを介して、認証されていない SQL コードまたはコマンドを実行する可能性があります。(CVE-2025-25257)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程主机安装的 FortiWeb 版本低于测试版本。因此，它受到 FG-IR-25-151 公告中提及的一个漏洞影响。

  - FortiWeb 中存在对 SQL 命令中使用的特殊元素中和不当（“SQL 注入”）漏洞 [CWE-89]，未经身份验证的攻击者可通过伪造的 HTTP 或 HTTPs 请求执行未经授权的 SQL 代码或命令。(CVE-2025-25257)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
114922	Fortinet FortiWeb Fabric Connector SQL Injection	Web App Scanning	Component Vulnerability	2025/7/24	2025/7/24	critical
114922	Fortinet FortiWeb の Fabric Connector の SQL インジェクション	Web App Scanning	Component Vulnerability	2025/7/24	2025/7/24	critical
114922	Fortinet FortiWeb Fabric Connector SQL 插入攻擊	Web App Scanning	Component Vulnerability	2025/7/24	2025/7/24	critical
114922	Fortinet FortiWeb Fabric Connector SQL 注入	Web App Scanning	Component Vulnerability	2025/7/24	2025/7/24	critical
241525	Fortinet FortiWeb sqli (FG-IR-25-151)	Nessus	Firewalls	2025/7/8	2025/7/18	critical
241525	Fortinet FortiWeb sqli (FG-IR-25-151)	Nessus	Firewalls	2025/7/8	2025/7/18	critical
241525	Fortinet FortiWeb sqli (FG-IR-25-151)	Nessus	Firewalls	2025/7/8	2025/7/18	critical
241525	Fortinet FortiWeb：sqli (FG-IR-25-151)	Nessus	Firewalls	2025/7/8	2025/7/18	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical