CVE-2025-25257: presente nel catalogo CISA KEV

CVE-2025-25257 · CVSS 9.8 CRITICAL · EPSS 99.8% · KEV 2025-07-18

An improper neutralization of special elements used in an SQL command ('SQL Injection') vulnerability [CWE-89] vulnerability in Fortinet FortiWeb 7.6.0 through 7.6.3, FortiWeb 7.4.0 through 7.4.7, FortiWeb 7.2.0 through 7.2.10, FortiWeb 7.0.0 through 7.0.10 allows an unauthenticated attacker to execute unauthorized SQL code or commands via crafted HTTP or HTTPs requests.

CVE-2025-25257 viene sfruttato?

• Inserito nel catalogo CISA KEV il 2025-07-18.
• Scadenza di remediation federale: 2025-08-08.
• Oltre quella data da 432 giorni.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 99.8%.
• Codice di exploit pubblico: proof of concept.
• Esistono regole di detection pubbliche.

Quali prodotti e versioni sono interessati?

• Fortinet · FortiWeb · 7.6.0 - 7.6.3, 7.4.0 - 7.4.7, 7.2.0 - 7.2.10, 7.0.0 - 7.0.10

Esiste una patch?

Nessun identificativo di patch registrato qui.

Cosa ha pubblicato PlainSec su CVE-2025-25257

• UAT-6275 mixes lures with public exploits (2026-10-14)

Fonti primarie

• NVD record
• CISA KEV catalog
• Exploit-DB 52473
• Nuclei template

Cosa questa scheda non dice

• Nessun identificativo di patch.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-10-14.