CVE-2026-86105 Fireware OS 访问门户反向代理越权访问漏洞
影响低权限认证用户可越权访问未授权的其他 Web 应用
Fireware OS 的 Access Portal 反向代理组件存在授权不当问题。已认证的低权限 Access Portal 用户可通过构造针对其有权访问资源的特制请求，绕过授权检查访问其他本无权访问的 Web 应用。该漏洞由 NVD 收录，编号 CVE-2026-86105。
影响范围
受影响组件为 Fireware OS 的 Access Portal 反向代理功能，具体受影响版本范围暂无公开信息。
漏洞详情
漏洞类型为授权不当（越权访问）。成因是反向代理在转发请求时未正确校验目标资源与用户权限的对应关系，攻击者只需对自身有权访问的资源构造特制请求，即可诱导代理访问其他受保护应用。利用需要攻击者已持有低权限的 Access Portal 账户。
利用条件与风险
利用前提是攻击者拥有合法的低权限 Access Portal 账号并可发起网络请求。实战中可导致横向越权访问内部 Web 应用，扩大攻击面，具体危害程度取决于被访问应用的数据敏感性。
修复建议
官方修复方案暂无公开信息，建议关注 WatchGuard 官方安全公告并及时升级 Fireware OS。临时缓解措施包括限制 Access Portal 账户权限、加强访问日志监控，暂无公开信息确认具体规避手段。
An improper authorization vulnerability in Fireware OS’s Access Portal reverse proxy allows an authenticated, low-privileged Access Portal user to access other web applications they are not authorized for by sending a specially crafted request for a different resource which they are authorized to access.