CVE-2025-64446: fallo crítico en Fortinet FortiWeb
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.
El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.
- CTIR Gov · ALERTA 19/2025Vulnerabilidade crítica no FortiWeb da Fortinetleer en gov.br ↗
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
FortiWeb tiene una falla de traversal de rutas que permite a los atacantes eludir restricciones de seguridad y ejecutar comandos administrativos en el sistema mediante solicitudes web especialmente elaboradas. Esto es crítico porque da a los atacantes control total sobre el firewall de aplicaciones web.
Una vulnerabilidad de traversal de rutas relativas (CWE-23) en las versiones afectadas de FortiWeb permite que atacantes sin autenticación o con privilegios bajos manipulen rutas de archivo en solicitudes HTTP/HTTPS para acceder a funciones administrativas restringidas y ejecutar comandos arbitrarios con privilegios elevados. La vulnerabilidad afecta las versiones 7.0.0-7.0.11, 7.2.0-7.2.11, 7.4.0-7.4.9, 7.6.0-7.6.4 y 8.0.0-8.0.1, con vector de ataque a través de la red.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.