FortiSandbox 命令注入漏洞复现（CVE-2026-39808）

免责申明：

本文所描述的漏洞及其复现步骤仅供网络安全研究与教育目的使用。任何人不得将本文提供的信息用于非法目的或未经授权的系统测试。作者不对任何由于使用本文信息而导致的直接或间接损害承担责任。如涉及侵权，请及时与我们联系，我们将尽快处理并删除相关内容。

前言：

我们建立了一个更多，更全的知识库。每日追踪最新的安全漏洞并提供批量性检测脚本。

更多详情：

https://pc.fenchuan8.com/#/index?forum=101158&yqm=DGR4X

0x01 产品描述：

FortiSandbox 是飞塔（Fortinet）​ 公司推出的高级威胁防护（ATP）解决方案中的核心组件，属于一款沙箱（Sandbox）检测系统。其主要功能是通过模拟真实环境，深度检测未知威胁、零日漏洞攻击和高级恶意软件，帮助企业在传统安全防御之外，提供更深层的安全分析能力。

0x02 漏洞描述：

该漏洞存在于 /fortisandbox/job-detail/tracer-behavior 端点中。攻击者可通过 jid GET 参数注入恶意操作系统命令，利用 Unix 系统中常见的管道符号（|）实现命令串联。由于存在漏洞的端点未能正确过滤用户输入，注入的命令会直接被底层操作系统以 root 权限执行。

0x03 影响版本：

Fortinet FortiSandbox 4.4.0 至 4.4.8