CVSS: 9.0EPSS: 0%CPEs: 7EXPL: 0CVE-2021-36195
https://notcve.org/view.php?id=CVE-2021-36195
Multiple command injection vulnerabilities in the command line interpreter of FortiWeb versions 6.4.1, 6.4.0, 6.3.0 through 6.3.15, 6.2.0 through 6.2.6, and 6.1.0 through 6.1.2 may allow an authenticated attacker to execute arbitrary commands on the underlying system shell via specially crafted command arguments. Múltiples vulnerabilidades de inyección de comandos en el intérprete de línea de comandos de FortiWeb versiones 6.4.1, 6.4.0, 6.3.0 hasta 6.3.15, 6.2.0 hasta 6.2.6, y 6.1.0 hasta 6.1.2, pueden permitir a un atacante autenticado ejecutar comandos arbitrarios en el shell del sistema subyacente por medio de argumentos de comando especialmente diseñados • https://fortiguard.com/advisory/FG-IR-21-157 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 5.3EPSS: 0%CPEs: 3EXPL: 0CVE-2021-41013
https://notcve.org/view.php?id=CVE-2021-41013
An improper access control vulnerability [CWE-284] in FortiWeb versions 6.4.1 and below and 6.3.15 and below in the Report Browse section of Log & Report may allow an unauthorized and unauthenticated user to access the Log reports via their URLs. Una vulnerabilidad de control de acceso inapropiado [CWE-284] en FortiWeb versiones 6.4.1 y anteriores y 6.3.15 y anteriores, en la sección Report Browse de Log & Report puede permitir a un usuario no autorizado y no autenticado acceder a los informes de Log a través de sus URLs • https://fortiguard.com/advisory/FG-IR-21-138 • CWE-863: Incorrect Authorization •
CVSS: 6.1EPSS: 0%CPEs: 3EXPL: 0CVE-2021-36188
https://notcve.org/view.php?id=CVE-2021-36188
A improper neutralization of input during web page generation ('cross-site scripting') in Fortinet FortiWeb version 6.4.1 and below, 6.3.15 and below allows attacker to execute unauthorized code or commands via crafted GET parameters in requests to login and error handlers Una neutralización inapropiada de la entrada durante la generación de la página web ("Cross-site Scripting") en Fortinet FortiWeb versión 6.4.1 y anteriores, 6.3.15 y anteriores, permite a un atacante ejecutar código o comandos no autorizados por medio de parámetros GET diseñados en peticiones de inicio de sesión y manejadores de errores • https://fortiguard.com/advisory/FG-IR-21-118 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 4EXPL: 0CVE-2021-43063
https://notcve.org/view.php?id=CVE-2021-43063
A improper neutralization of input during web page generation ('cross-site scripting') in Fortinet FortiWeb version 6.4.1 and 6.4.0, version 6.3.15 and below, version 6.2.6 and below allows attacker to execute unauthorized code or commands via crafted HTTP GET requests to the login webpage. Una neutralización inapropiada de la entrada durante la generación de la página web ("Cross-site Scripting") en Fortinet FortiWeb versiones 6.4.1 y 6.4.0, versiones 6.3.15 y anteriores, versiones 6.2.6 y anteriores permite a un atacante ejecutar código o comandos no autorizados por medio de peticiones HTTP GET diseñadas a la página web de inicio de sesión • https://fortiguard.com/advisory/FG-IR-21-122 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.5EPSS: 0%CPEs: 8EXPL: 0CVE-2021-36190
https://notcve.org/view.php?id=CVE-2021-36190
A unintended proxy or intermediary ('confused deputy') in Fortinet FortiWeb version 6.4.1 and below, 6.3.15 and below allows an unauthenticated attacker to access protected hosts via crafted HTTP requests. Un proxy o intermediario no intencionado ("confused deputy") en Fortinet FortiWeb versión 6.4.1 y anteriores, 6.3.15 y anteriores, permite a un atacante no autenticado acceder a hosts protegidos por medio de peticiones HTTP diseñadas • https://fortiguard.com/advisory/FG-IR-21-123 •