【漏洞预警】Fortinet FortiWeb /api/v2.0/cmdb/system/admin%3f/../../../../../cgi-bin/fwbcgi 权限绕过漏洞（CVE-2025-64446）

匿名者 21天前

漏洞名称：Fortinet FortiWeb /api/v2.0/cmdb/system/admin%3f/../../../../../cgi-bin/fwbcgi 权限绕过漏洞（CVE-2025-64446）

风险等级：高风险

漏洞描述：

FortinetFortiWeb是Fortinet公司推出的一款专用于保护Web应用程序和API的防火墙产品，旨在防御诸如SQL注入、跨站脚本等网络攻击。

该漏洞源于fwbcgi组件完全信任请求中HTTP_CGIINFO的用户信息，而未能进行有效的身份验证。攻击者通过构造特定的请求冒充管理员用户执行恶意操作，从而获得设备的完全控制权。目前该漏洞已发现在野利用且POC和技术细节完全公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

FOFA自检语句：

body="FortiWeb" && body="app.min.js"

受影响版本：

8.0.0<=FortiWeb<=8.0.1、7.6.0<=FortiWeb<=7.6.4、7.4.0<=FortiWeb<=7.4.9、7.2.0<=FortiWeb<=7.2.11、7.0.0<=FortiWeb<=7.0.11

临时修复方案：

建议立即升级 Fortinet FortiWeb 至官方提供的最新版本，并限制对敏感接口的访问权限。同时，建议在 Web 应用防火墙中启用严格的路径验证规则，防止路径遍历攻击。

漏洞检测工具：

鉴于该漏洞影响范围较大，建议优先处置排查，Goby EXP效果如视频演示如下：

威胁情报漏洞

相关推荐