Bulletins de Sécurité

Une nouvelle vulnérabilité critique impactant les produits FortiWeb (WAF) a été publiée le 08/07 par Fortinet, sous le numéro : CVE-2025-25257.

Cette vulnérabilité est une injection SQL impactant l’interface d’administration Web des produits FortiWeb pouvant être exposés, et qui permet à un attaquant non authentifié, via des requêtes spécialement forgés, d’exécuter du code malveillant sur le serveur.

L’exploitation de cette CVE pourrait permettre à un attaquant d’exfiltrer la base de données contenant tous les identifiants et secrets. Il semble également possible via cette injection d’exécuter des commandes sur l’équipement, ce qui permettrait à l’attaquant d’obtenir un point d’entrée sur le réseau local afin de se latéraliser vers les autres serveurs accessibles.

A l’heure actuelle, aucune trace d’exploitation par des groupes d’attaquants n’a été observée.

Une preuve de concept est cependant disponible sur internet et sera rapidement reprise par des attaquants.

Etant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre, surtout si l’interface d’administration est exposée sur internet.