NCSC-2026-0189 [1.00] [M/H] Kwetsbaarheid verholpen in Fortinet FortiSandbox

Fortinet heeft een kwetsbaarheid verholpen in FortiSandbox versies 4.2 tot en met 5.0.5, inclusief FortiSandbox Cloud en FortiSandbox PaaS. De kwetsbaarheid betreft een OS command injection in de webinterface van FortiSandbox. Hierdoor kunnen niet-geauthenticeerde aanvallers willekeurige OS-commando's uitvoeren door speciaal vervaardigde HTTP-verzoeken te sturen. Deze kwetsbaarheid treft meerdere implementatiemodellen van FortiSandbox, waaronder on-premises, cloud en platform-as-a-service varianten. De kwetsbaarheid maakt ongeautoriseerde command execution mogelijk zonder dat authenticatie vereist is. De webinterface is in beginsel niet ontworpen om toegankelijk te zijn voor het brede publiek en het is goed gebruik een dergelijke interface af te steunen in een separate beheeromgeving.