FICHE CVE

CVE-2025-62826

Publiée le 2026-07-14 · Dernière modification le 2026-08-11

🇫🇷 EN BREF

Les appareils FortiOS et FortiProxy sont affectés par une faille dans la manière dont ils traitent les demandes d'authentification du portail captif. Un attaquant capable d'intercepter et de modifier le trafic réseau d'un utilisateur peut injecter des en-têtes HTTP arbitraires dans la réponse du serveur. Comme cela nécessite à la fois une position spécifique d'homme du milieu (man-in-the-middle) et une interaction de l'utilisateur, l'exécution de cette attaque est difficile.

CVSS 3.13.1 FAIBLE

Type de faiblesse

CWE-113

Publiée2026-07-14

Dernière modification2026-08-11

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

An Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Response Splitting') vulnerability [CWE-113] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.4, FortiOS 7.4 all versions, FortiOS 7.2 all versions, FortiProxy 7.6.0 through 7.6.4, FortiProxy 7.4 all versions, FortiProxy 7.2 all versions may allow an attacker able to intercept and modify a user's captive portal authentication request to inject arbitrary headers via crafted HTTP requests.