CVSS: 6.1EPSS: 0%CPEs: 3EXPL: 0CVE-2019-6696
https://notcve.org/view.php?id=CVE-2019-6696
An improper input validation vulnerability in FortiOS 6.2.1, 6.2.0, 6.0.8 and below until 5.4.0 under admin webUI may allow an attacker to perform an URL redirect attack via a specifically crafted request to the admin initial password change webpage. Una vulnerabilidad de comprobación de entrada inapropiada en FortiOS versiones 6.2.1, 6.2.0, 6.0.8 y por debajo hasta 5.4.0, bajo la Interfaz de Usuario Web de administración puede permitir a un atacante llevar a cabo un ataque de redireccionamiento de URL por medio de una petición específicamente diseñada para la página web de cambio de contraseña inicial del administrador. • https://fortiguard.com/psirt/FG-IR-19-179 • CWE-20: Improper Input Validation CWE-601: URL Redirection to Untrusted Site ('Open Redirect') •
CVSS: 5.5EPSS: 0%CPEs: 3EXPL: 0CVE-2019-5593
https://notcve.org/view.php?id=CVE-2019-5593
Improper permission or value checking in the CLI console may allow a non-privileged user to obtain Fortinet FortiOS plaint text private keys of system's builtin local certificates via unsetting the keys encryption password in FortiOS 6.2.0, 6.0.0 to 6.0.6, 5.6.10 and below or for user uploaded local certificates via setting an empty password in FortiOS 6.2.1, 6.2.0, 6.0.6 and below. Una comprobación inapropiada de permisos o valores en la consola de la CLI puede permitir a un usuario no privilegiado obtener claves privadas en texto plano de Fortinet FortiOS de los certificados locales incorporados del sistema mediante la desconfiguración de la contraseña de cifrado de claves en FortiOS versión 6.2.0, versiones 6.0.0 hasta 6.0.6, y versiones 5.6.10 y por debajo, o por un usuario que cargó certificados locales mediante la configuración de una contraseña vacía en FortiOS versiones 6.2.1, 6.2.0, y versiones 6.0.6 y por debajo. • https://fortiguard.com/psirt/FG-IR-19-134 • CWE-755: Improper Handling of Exceptional Conditions •
CVSS: 7.5EPSS: 0%CPEs: 2EXPL: 0CVE-2019-15705
https://notcve.org/view.php?id=CVE-2019-15705
An Improper Input Validation vulnerability in the SSL VPN portal of FortiOS versions 6.2.1 and below, and 6.0.6 and below may allow an unauthenticated remote attacker to crash the SSL VPN service by sending a crafted POST request. Una vulnerabilidad de Comprobación de Entrada Inapropiada en el portal VPN SSL de FortiOS versiones 6.2.1 y posteriores, y versiones 6.0.6 y posteriores, puede permitir a un atacante remoto no identificado bloquear el servicio VPN SSL enviando una petición POST especialmente diseñada. • https://fortiguard.com/advisory/FG-IR-19-236 • CWE-20: Improper Input Validation •
CVSS: 6.5EPSS: 0%CPEs: 3EXPL: 1CVE-2019-6693
https://notcve.org/view.php?id=CVE-2019-6693
Use of a hard-coded cryptographic key to cipher sensitive data in FortiOS configuration backup file may allow an attacker with access to the backup file to decipher the sensitive data, via knowledge of the hard-coded key. The aforementioned sensitive data includes users' passwords (except the administrator's password), private keys' passphrases and High Availability password (when set). El uso de una clave criptográfica embebida para cifrar datos confidenciales en el archivo de respaldo de configuración de FortiOS, puede permitir a un atacante con acceso al archivo de respaldo descifrar los datos confidenciales, por medio del conocimiento de la clave embebida. Los datos confidenciales mencionados anteriormente incluyen las contraseñas de los usuarios (excepto la contraseña del administrador), las frases de contraseña de las claves privadas y la contraseña de alta disponibilidad (cuando se establecen). • https://github.com/gquere/CVE-2019-6693 https://fortiguard.com/advisory/FG-IR-19-007 • CWE-798: Use of Hard-coded Credentials •
CVSS: 5.9EPSS: 0%CPEs: 3EXPL: 0CVE-2018-9195 – FortiOS 6.0.6 / FortiClientWindows 6.0.6 / FortiClientMac 6.2.1 XOR Encryption
https://notcve.org/view.php?id=CVE-2018-9195
Use of a hardcoded cryptographic key in the FortiGuard services communication protocol may allow a Man in the middle with knowledge of the key to eavesdrop on and modify information (URL/SPAM services in FortiOS 5.6, and URL/SPAM/AV services in FortiOS 6.0.; URL rating in FortiClient) sent and received from Fortiguard severs by decrypting these messages. Affected products include FortiClient for Windows 6.0.6 and below, FortiOS 6.0.7 and below, FortiClient for Mac OS 6.2.1 and below. El uso de una clave criptográfica codificada en el protocolo de comunicación de servicios FortiGuard puede permitir que un Hombre en el medio con conocimiento de la clave escuche y modifique información (servicios URL / SPAM en FortiOS 5.6 y servicios URL / SPAM / AV en FortiOS 6.0). ; Clasificación de URL en FortiClient) enviado y recibido de los servidores de Fortiguard al descifrar estos mensajes. Los productos afectados incluyen FortiClient para Windows 6.0.6 y versiones anteriores, FortiOS 6.0.7 y versiones anteriores , FortiClient para Mac OS 6.2.1 y versiones anteriores. Fortinet products, including FortiGate and Forticlient, regularly send information to Fortinet servers using XOR "encryption" with a static key. • https://fortiguard.com/advisory/FG-IR-18-100 • CWE-798: Use of Hard-coded Credentials •