Fortinet · FortiClient EMS
CVE-2023-48788
Fortinet FortiClient EMS SQL Injection Vulnerability
Qué es
A improper neutralization of special elements used in an sql command ('sql injection') in Fortinet FortiClientEMS version 7.2.0 through 7.2.2, FortiClientEMS 7.0.1 through 7.0.10 allows attacker to execute unauthorized code or commands via specially crafted packets.
CISA: Fortinet FortiClient EMS contains a SQL injection vulnerability that allows an unauthenticated attacker to execute commands as SYSTEM via specifically crafted requests.
Qué hacer
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Plazo para las agencias federales de EE. UU.: 15 de abril de 2024
- Añadida a la lista de CISA
- 25 de marzo de 2024
- Publicada
- 12 de marzo de 2024
- Gravedad
- Crítica 9,3 CVSS 3.1
- Probabilidad de ataques en los próximos 30 días (EPSS)
- 98% entre el 0,1% superior de todas las vulnerabilidades conocidas
- Debilidad
- CWE-89
- Más detalles
- NVD · CVE.org · CISA
Todas las referencias (1)
Más fallos explotados de Fortinet
| Añadido | Vulnerabilidad | Producto | Gravedad | Prob. de ataque |
|---|---|---|---|---|
| 13 abr 2026 | SQL Injection | FortiClient EMS | Crítica 9,1 | 98% |
| 6 abr 2026 | Improper Access Control | FortiClient EMS | Crítica 9,1 | 94% |
| 16 oct 2026 | Path Traversal | Multiple Products | Media 5,4 | 1,3% |
| 1 oct 2026 | Path Traversal | FortiMail | Crítica 9,8 | 4,6% |
| 9 sept 2026 | Heap-based Buffer Overflow | Multiple Products | Alto 7,4 | 3,7% |
| 27 jul 2026 | Exposure of Sensitive Information to an Unauthorized Actor | FortiOS | Media 5,3 | 29% |
| 16 jul 2026 | OS Command Injection | FortiSandbox | Crítica 9,1 | 76% |
| 16 jul 2026 | OS Command Injection | FortiSandbox | Crítica 9,1 | 93% |
Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.