Dos nuevos avisos de seguridad
Índice
- Inyección SQL en FortiClientEMS
- Ejecución de comandos del sistema operativo en BeyondTrust
Inyección SQL en FortiClientEMS
FortiClientEMS 7.4.
Gwendal Guégniaud, de Fortinet Product Security team, ha reportado una vulnerabilidad de severidad crítica, cuya explotación podría permitir a un atacante ejecutar código o comandos no autorizados.
Se recomienda actualizar a la versión de FortiClientEMS 7.4.5 o superior.
CVE-2026-21643: vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en comandos SQL (inyección SQL) en FortiClientEMS, cuya explotación podría permitir a un atacante no autenticado ejecutar código o comandos no autorizados mediante peticiones HTTP específicamente manipuladas.
Ejecución de comandos del sistema operativo en BeyondTrust
- Remote Support, versión 25.3.1 y anteriores;
- Privileged Remote Access, versión 24.3.4 y anteriores.
Harsh Jaiswal y el equipo de Hacktron AI han descubierto una vulnerabilidad de severidad crítica que, en caso de ser explotada, permitiría a un atacante en remoto, no autenticado, ejecutar comandos del sistema operativo en el contexto del usuario del sitio.
Actualizar los productos a las siguientes versiones:
- Remote Support:
- Patch BT26-02-RS
- Versión 25.3.2 o posterior;
- Privileged Remote Access:
- Patch BT26-02-PRA
- Versión 25.1.1 o posterior.
CVE-2026-1731: BeyondTrust Remote Support (RS) y algunas versiones antiguas de Privileged Remote Access (PRA) tienen una vulnerabilidad crítica de ejecución de código en remoto previo a la autenticación. Al enviar una petición especialmente manipulada, un atacante en remoto no autenticado puede llegar a ejecutar comandos del sistema operativo en el contexto del usuario del sitio; lo que podría suponer un compromiso del sistema, incluyendo el acceso no autorizado, la exfiltración de datos y el cese del servicio.