面向安全从业者的中英双语安全研究与漏洞情报精选。

FortiClient EMS 7.4.4 预认证 SQL 注入漏洞（CVE-2026-21643）

bishopfox.com | 漏洞 | 严重 | 已在野利用 | CVE-2026-21643 | #vulnerability-research | #sql-injection | #web-security | #pre-auth | #forticlient-ems | #fortinet | #cve-2026-21643 | #multi-tenancy

摘要

Bishop Fox 详述 CVE-2026-21643 的预认证利用：/api/v1/init_consts 返回数据库报错且无锁定保护，未认证攻击者可借特制的租户 Site HTTP 头注入 SQL，提取多租户 FortiClient EMS 7.4.4 的管理员凭据与终端数据。

CVSS: 9.8
发布时间: 2026-03-09 00:00
收录时间: 2026-07-08 00:04

相关内容