CVSS: 7.8EPSS: 0%CPEs: 3EXPL: 0CVE-2021-26106
https://notcve.org/view.php?id=CVE-2021-26106
An improper neutralization of special elements used in an OS Command vulnerability in FortiAP's console 6.4.1 through 6.4.5 and 6.2.4 through 6.2.5 may allow an authenticated attacker to execute unauthorized commands by running the kdbg CLI command with specifically crafted arguments. Una vulnerabilidad neutralización inapropiada de los elementos especiales usados en comandos del Sistema Operativo en la consola de FortiAP versiones 6.4.1 hasta 6.4.5 y versiones 6.2.4 hasta 6.2.5, puede permitir a un atacante autenticado ejecutar comandos no autorizados al ejecutar el comando kdbg CLI con argumentos específicamente diseñados • https://fortiguard.com/advisory/FG-IR-20-210 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 6.3EPSS: 0%CPEs: 1EXPL: 0CVE-2020-29014
https://notcve.org/view.php?id=CVE-2020-29014
A concurrent execution using shared resource with improper synchronization ('race condition') in the command shell of FortiSandbox before 3.2.2 may allow an authenticated attacker to bring the system into an unresponsive state via specifically orchestrated sequences of commands. Una ejecución concurrente usando recursos compartidos con una sincronización inapropiada ("race condition") en el shell de comandos de FortiSandbox versiones anteriores a 3.2.2, puede permitir a un atacante autenticado llevar el sistema a un estado de falta de respuesta por medio de secuencias de comandos específicamente orquestadas • https://fortiguard.com/advisory/FG-IR-20-185 • CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2021-26100
https://notcve.org/view.php?id=CVE-2021-26100
A missing cryptographic step in the Identity-Based Encryption service of FortiMail before 7.0.0 may allow an unauthenticated attacker who intercepts the encrypted messages to manipulate them in such a way that makes the tampering and the recovery of the plaintexts possible. Una falta de paso criptográfico en el servicio Identity-Based Encryption de FortiMail versiones anteriores a 7.0.0, puede permitir a un atacante no autenticado que intercepte los mensajes encriptados manipularlos de tal manera que haga posible la manipulación y la recuperación de textos planos • https://fortiguard.com/advisory/FG-IR-21-003 • CWE-347: Improper Verification of Cryptographic Signature •
CVSS: 9.8EPSS: 0%CPEs: 2EXPL: 0CVE-2021-24020
https://notcve.org/view.php?id=CVE-2021-24020
A missing cryptographic step in the implementation of the hash digest algorithm in FortiMail 6.4.0 through 6.4.4, and 6.2.0 through 6.2.7 may allow an unauthenticated attacker to tamper with signed URLs by appending further data which allows bypass of signature verification. Una falta de paso criptográfico en la implementación del algoritmo hash digest en FortiMail versiones 6.4.0 hasta 6.4.4, y versiones 6.2.0 hasta 6.2.7, puede permitir a un atacante no autenticado manipular las URLs firmadas al añadir más datos que permitan omitir la comprobación de la firma • https://fortiguard.com/advisory/FG-IR-21-027 • CWE-347: Improper Verification of Cryptographic Signature •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2021-24005
https://notcve.org/view.php?id=CVE-2021-24005
Usage of hard-coded cryptographic keys to encrypt configuration files and debug logs in FortiAuthenticator versions before 6.3.0 may allow an attacker with access to the files or the CLI configuration to decrypt the sensitive data, via knowledge of the hard-coded key. El uso de claves criptográficas embebidas para cifrar los archivos de configuración y los registros de depuración en FortiAuthenticator versiones anteriores a 6.3.0, puede permitir a un atacante con acceso a los archivos o a la configuración de la CLI descifrar los datos confidenciales, por medio del conocimiento de la clave embebida • https://fortiguard.com/psirt/FG-IR-20-049 • CWE-798: Use of Hard-coded Credentials •