Múltiples vulnerabilidades en FortiSandbox

Fecha de publicación 15/04/2026

Identificador

INCIBE-2026-285

Importancia

5 - Crítica

Recursos Afectados

FortiSandbox 4.4, desde la versión 4.4.0 hasta la 4.4.8.

Solo para la vulnerabilidad CVE-2026-39813 también se ve afectado:

FortiSandbox 5.0, desde la versión 5.0.0 hasta la 5.0.5.

Descripción

Samuel de Lucas Maroto de KPMG Spain y Loic Pantano de Fortinet PSIRT han descubierto 2 vulnerabilidades de severidad crítica que, en caso de ser explotadas, podrían permitir a un atacante ejecutar comandos no autorizados o evitar la autenticación en el sistema.

Solución

Según la versión inicial del producto, actualizarlo a:

FortiSandbox 4.4.9;
FortiSandbox 5.0.6.

Detalle

CVE-2026-39813: una vulnerabilidad de salto de directorio: '../filedir' puede permitir a un atacante no autenticado evitar la autenticación a través de solicitudes HTTP manipuladas.
CVE-2026-39808: neutralización incorrecta de elementos especiales utilizados en un comando del Sistema Operativo (OS Command Injection) puede permitir a un atacante no autenticado ejecutar código o comandos no autorizados a través de una solicitud HTTP manipulada.

CVE