· CVE-2025-61624

Fortinet FortiOS Path Traversal

6,5 CVSS · mittelAktiv ausgenutzt

Path Traversal in Fortinet FortiOS. Über das Netzwerk angreifbar, nur mit einem Konto mit hohen Rechten, ohne Zutun eines Nutzers. CVSS 6,5 (mittel). Laut CISA wird die Lücke bereits ausgenutzt. Die behobenen Versionen nennt der Hersteller in seinem Bericht.

Sicherheitshinweis des Herstellers

fortiguard.fortinet.com · Maßgeblich sind die Angaben des Herstellers.

Auf einen Blick

CVE
CVE-2025-61624
Produkt
Fortinet FortiOS
Hersteller
Fortinet
Betroffene Versionen
  • ≥ 7.6.0, ≤ 7.6.4
  • ≥ 7.4.0, ≤ 7.4.9
  • ≥ 7.2.0, ≤ 7.2.13
  • ≥ 7.0.0, ≤ 7.0.19
  • ≥ 6.4.0, ≤ 6.4.16
laut Hersteller bzw. CVE-Herausgeber
Behoben in
siehe Bericht des Herstellers
CVSS
6,5 (mittel)
CVSS 3.1, bewertet von der NVD
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H
Aktiv ausgenutzt
Ja, laut CISA (im KEV-Katalog seit 16. Oktober 2026)
Schwachstellentyp
CWE-22 (Path Traversal)
Veröffentlicht
Zuletzt geändert

Was zu tun ist

  1. Die behobenen Versionen stehen im Bericht des Herstellers. Dort auf die passende Version für Ihren Versionszweig aktualisieren.
  2. Den Bericht des Herstellers lesen: Er nennt die genauen Versionen und, falls vorhanden, Workarounds für den Fall, dass ein Update nicht sofort möglich ist.
  3. Weil die Lücke bereits ausgenutzt wird: nach dem Update prüfen, ob das System vorher kompromittiert wurde.
  4. Auch Test-, Staging- und vergessene Installationen derselben Software prüfen.
Sicherheitshinweis des Herstellers ↗

Originalbeschreibung

Englisch, aus dem CVE-Eintrag. Die Zusammenfassung oben ist aus den strukturierten Daten erstellt.

An Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') [CWE-22] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.4, FortiOS 7.4.0 through 7.4.9, FortiOS 7.2 all versions, FortiOS 7.0 all versions, FortiOS 6.4 all versions, FortiPAM 1.7.0, FortiPAM 1.6 all versions, FortiPAM 1.5 all versions, FortiPAM 1.4 all versions, FortiPAM 1.3 all versions, FortiPAM 1.2 all versions, FortiPAM 1.1 all versions, FortiPAM 1.0 all versions, FortiProxy 7.6.0 through 7.6.4, FortiProxy 7.4.0 through 7.4.11, FortiProxy 7.2 all versions, FortiProxy 7.0 all versions, FortiSwitchManager 7.2.0 through 7.2.7, FortiSwitchManager 7.0.0 through 7.0.6 may allow an authenticated attacker with admin profile and at least read-write permissions to write or delete arbitrary files via specific CLI commands.

Bezeichnung bei CISA: Fortinet Multiple Products Path Traversal Vulnerability

Offizielle Referenzen

Quellen

Daten aus der NVD (NIST) und dem KEV-Katalog der CISA, abgerufen am 1. November 2026. Diese Seite nutzt Daten der NVD-API, ist aber weder von der NVD gebilligt noch zertifiziert. Alle Angaben ohne Gewähr.

Eintrag in der NVD ↗Eintrag bei CVE.org ↗KEV-Katalog der CISA ↗

Welche Software-Versionen gibt Ihre Website nach außen preis? Der kostenlose Security-Check prüft es.

Kostenlos prüfen