CVE-2018-13382

CríticoPublicado

Fortinet FortiOS y FortiProxy autorización indebida

Publicado: 4 jun 2019
Actualizado: 21 oct 2025
Asignación de CNA: fortinet
Evidencia observada: 19 nov 2020

CVSS primario

9,1/ 10Crítico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Estimación de probabilidad EPSS

81,7 %

Alto · próximos 30 días

Percentil: 99,6 %
Fecha del modelo: 26 oct 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

CISA conocida explotada

Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.

Resumen

Una vulnerabilidad de autorización inadecuada en Fortinet FortiOS versiones 6.0.0 a 6.0.4, 5.6.0 a 5.6.8 y 5.4.1 a 5.4.10 y FortiProxy versiones 2.0.0, 1.2.0 a 1.2.8, 1.1.0 a 1.1.6, 1.0.0 a 1.0.7 en el portal web SSL VPN permite a un atacante no autenticado modificar la contraseña de un usuario del portal web SSL VPN a través de peticiones HTTP especialmente diseñadas

Fuentes

CVE-2018-13382Exploit
CVE-2018-13382
CVE-2018-13382PoC
Exploit de prueba de concepto basado en Python para CVE-2018-13382, que demuestra la vulnerabilidad con un script PoC funcional para pruebas y verificación de seguridad.
Exploit-FortinetMagicBackdoorPoC
PoC para CVE-2018-13382, nunca probado con éxito, así que nada bajo tu propio riesgo
Fortinet FortiOS 6.0.4 - Unauthenticated SSL VPN User Password ModificationExploit
Ricardo Longatto · hardware · 19 nov 2020

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.