CVE-2026-21643

9.8 Critique Exploitée activement

Publiée le 06/02/2026 à 10:15 · Modifiée le 17/06/2026 à 12:18 · Analysée par le NVD · Source : psirt@fortinet.com

Catalogue CISA KEV — Fortinet FortiClient EMS SQL Injection Vulnerability

Ajoutée le 13/04/2026 · Échéance de correction (agences US) : 16/04/2026

Action requise : Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Description

An improper neutralization of special elements used in an sql command ('sql injection') vulnerability in Fortinet FortiClientEMS 7.4.4 may allow an unauthenticated attacker to execute unauthorized code or commands via specifically crafted HTTP requests.

Traduire en français

Produits concernés

Fortinet FortiClientEMS

Scores CVSS

Version	Score	Source	Vecteur
3.1	9.8 Critique	psirt@fortinet.com	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

Faiblesses (CWE)

CWE-89

Références

https://fortiguard.fortinet.com/psirt/FG-IR-25-1142 Vendor Advisory
https://github.com/0xBlackash/CVE-2026-21643/blob/main/cve-2026-21643.py Exploit
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21643 US Government Resource

CVE-2026-21643

Catalogue CISA KEV — Fortinet FortiClient EMS SQL Injection Vulnerability

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs