🚨 New Vulnerability Alert: CVE-2025-13288

🟠 Risk Level: HIGH (Score: 8.8)


🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2024-44659

🔴 Risk Level: CRITICAL (Score: 9.8)

🚨 گزارش تحلیل آسیب‌پذیری: CVE-2024-44659

این گزارش به بررسی آسیب‌پذیری تزریق SQL در پورتال فروشگاه آنلاین PHPGurukul نسخه 2.0 می‌پردازد.

---

📄 شرح آسیب‌پذیری:

آسیب‌پذیری از نوع تزریق SQL (SQL Injection) در فایل forgot-password.php شناسایی شده است. این ضعف امنیتی به دلیل عدم اعتبارسنجی و پاک‌سازی صحیح ورودی کاربر در پارامتر email به وجود آمده است. مهاجم می‌تواند با ارسال کوئری‌های SQL دستکاری‌شده به جای آدرس ایمیل، دستورات دلخواه خود را مستقیماً بر روی پایگاه داده سایت اجرا کند.

💥 تاثیر:

موفقیت‌آمیز بودن این حمله می‌تواند منجر به عواقب جدی زیر شود:

- سرقت اطلاعات حساس: استخراج اطلاعات کامل کاربران، شامل نام‌های کاربری، رمزهای عبور (هش شده)، آدرس‌ها و اطلاعات شخصی دیگر.
- دسترسی غیرمجاز: دور زدن مکانیزم‌های احراز هویت و ورود به حساب‌های کاربری یا حتی کنترل پنل مدیریت.
- تغییر یا حذف داده‌ها: مهاجم قادر به دستکاری، تغییر یا حذف اطلاعات موجود در پایگاه داده خواهد بود.
- کنترل کامل سرور: در برخی موارد، بسته به سطح دسترسی کاربر پایگاه داده، امکان اجرای دستورات بر روی سیستم‌عامل سرور و در نهایت کنترل کامل آن نیز وجود دارد.

🎯 سناریوی حمله:

مهاجم به صفحه "فراموشی رمز عبور" وب‌سایت مراجعه می‌کند. در فیلد مربوط به وارد کردن ایمیل، به جای یک آدرس ایمیل معتبر، یک قطعه کد SQL مخرب وارد می‌کند. برای مثال، یک ورودی ساده می‌تواند به شکل زیر باشد:

' OR '1'='1' --

این ورودی باعث می‌شود که شرط منطقی در کوئری پایگاه داده همیشه `TRUE` ارزیابی شود. در نتیجه، سیستم ممکن است اطلاعات بازنشانی رمز عبور اولین کاربر در پایگاه داده (که معمولاً مدیر سیستم است) را برای مهاجم افشا کرده یا به او اجازه دهد بدون داشتن اطلاعات صحیح، فرآیند را ادامه دهد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13304

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری | CVE-2025-13304

آسیب‌پذیری:
یک نقص امنیتی از نوع سرریز بافر (Buffer Overflow) در مدل‌های مختلفی از روترهای D-Link شناسایی شده است. این آسیب‌پذیری در فایل /boafrm/formPingDiagnosticRun و از طریق دستکاری آرگومان host در ابزار تشخیص Ping دستگاه، قابل بهره‌برداری می‌باشد.

مدل‌های تحت تأثیر عبارتند از:
D-Link DWR-M920, DWR-M921, DWR-M960, DWR-M961, DIR-825M (1.01.07/1.1.47)

مهم‌ترین نکته این است که حمله می‌تواند از راه دور (Remote) انجام شود و کد اکسپلویت (کد بهره‌برداری) آن به صورت عمومی منتشر شده است که ریسک بهره‌برداری را به شدت افزایش می‌دهد.

---

تأثیر:
مهاجم از راه دور و بدون نیاز به احراز هویت، می‌تواند با ارسال یک درخواست دستکاری‌شده به دستگاه، باعث سرریز بافر شود. این امر می‌تواند منجر به نتایج خطرناکی شود، از جمله:

اجرای کد از راه دور (RCE): خطرناک‌ترین پیامد که به مهاجم اجازه می‌دهد کنترل کامل روتر را در دست بگیرد.

از کار انداختن سرویس (DoS): حمله می‌تواند باعث از کار افتادن کامل روتر شده و نیاز به راه‌اندازی مجدد سخت‌افزاری داشته باشد.

شنود ترافیک شبکه: مهاجم با در دست گرفتن کنترل روتر، قادر به مشاهده، تغییر یا سرقت اطلاعات عبوری از شبکه (مانند رمزهای عبور) خواهد بود.

اضافه کردن دستگاه به بات‌نت (Botnet): استفاده از روتر هک‌شده به عنوان بخشی از یک شبکه بزرگتر برای انجام حملات سایبری دیگر (مانند حملات DDoS).

---

سناریو:
یک مهاجم با اسکن گسترده اینترنت، روترهای آسیب‌پذیر D-Link را که در معرض دید عموم قرار دارند، شناسایی می‌کند.

سپس، یک درخواست HTTP POST مخرب به آدرس /boafrm/formPingDiagnosticRun روتر هدف ارسال می‌کند.

در این درخواست، مقدار پارامتر host را با یک رشته بسیار طولانی که حاوی کدهای مخرب (شل‌کد) است، پر می‌کند.

این رشته بلندتر از ظرفیت بافر در نظر گرفته شده در حافظه دستگاه است و باعث سرریز شدن آن می‌شود. این سرریز به مهاجم اجازه می‌دهد تا آدرس بازگشت برنامه را بازنویسی کرده و اجرای برنامه را به سمت کد مخرب خود هدایت کند.

در نتیجه، مهاجم به روتر دسترسی کامل پیدا کرده و می‌تواند تنظیمات DNS را برای هدایت کاربران به سایت‌های فیشینگ تغییر دهد یا یک در پشتی (Backdoor) برای دسترسی‌های آتی نصب نماید.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13305

🟠 Risk Level: HIGH (Score: 8.8)

📝 شرح آسیب‌پذیری:
یک آسیب‌پذیری حیاتی با شناسه CVE-2025-13305 در تعدادی از روترهای شرکت D-Link شناسایی شده است. این ضعف امنیتی از نوع سرریز بافر (Buffer Overflow) بوده و مدل‌های زیر را تحت تأثیر قرار می‌دهد:
D-Link DWR-M920
D-Link DWR-M921
D-Link DWR-M960
D-Link DIR-822K
D-Link DIR-825M
(نسخه فریم‌ور 1.01.07)

این مشکل در فایل /boafrm/formTracerouteDiagnosticRun که مربوط به ابزار عیب‌یابی شبکه در پنل مدیریت وب روتر است، وجود دارد. مهاجم می‌تواند با ارسال یک ورودی دستکاری‌شده و بسیار طولانی در پارامتر host، باعث سرریز شدن حافظه دستگاه شود. این حمله می‌تواند از راه دور و بدون نیاز به احراز هویت انجام شود. مهم‌تر اینکه، کد بهره‌برداری (Exploit) از این آسیب‌پذیری به صورت عمومی منتشر شده است.

💥 تأثیرات:
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به نتایج بسیار خطرناکی شود، از جمله:
- اجرای کد از راه دور (RCE): در بدترین حالت، مهاجم می‌تواند کنترل کامل روتر را به دست آورد. این امر به او اجازه می‌دهد تا ترافیک شبکه داخلی را شنود کند، به سایر دستگاه‌های متصل به شبکه حمله کند، اطلاعات حساس کاربران را سرقت نماید یا روتر را به بخشی از یک شبکه بات‌نت (Botnet) برای حملات گسترده‌تر تبدیل کند.
- از کار انداختن دستگاه (DoS): حتی اگر حمله برای اجرای کد موفقیت‌آمیز نباشد، می‌تواند باعث کرش کردن (crash) و راه‌اندازی مجدد مداوم روتر شود. این موضوع منجر به قطعی کامل دسترسی به اینترنت برای تمام کاربران متصل به شبکه خواهد شد.

🎭 سناریوی حمله:
۱. مهاجم با استفاده از ابزارهای اسکن خودکار (مانند Shodan) یا اسکریپت‌های سفارشی، روترهای D-Link آسیب‌پذیر را که در اینترنت قابل دسترس هستند، شناسایی می‌کند.

۲. سپس، یک درخواست HTTP مخرب به صفحه مدیریت وب روتر، مشخصاً به آدرس /boafrm/formTracerouteDiagnosticRun ارسال می‌کند.

۳. در این درخواست، مقدار پارامتر host به جای یک آدرس IP یا دامنه معتبر، با یک رشته بسیار طولانی و حاوی کدهای مخرب (شل‌کد یا Shellcode) پر می‌شود.

۴. فریم‌ور روتر هنگام پردازش این ورودی نامعتبر در ابزار Traceroute، دچار سرریز بافر شده و کد مخرب مهاجم با بالاترین سطح دسترسی (root) روی دستگاه اجرا می‌شود. از این لحظه، مهاجم کنترل کامل روتر را در اختیار دارد.
---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-31649

🟠 Risk Level: HIGH (Score: 8.7)

تحلیل آسیب‌پذیری: CVE-2025-31649
افزایش سطح دسترسی در درایور Dell ControlVault

---

توضیحات آسیب‌پذیری: 📝
یک آسیب‌پذیری از نوع رمز عبور ثابت (Hard-coded Password) در درایور ControlVault WBDI شناسایی شده است. این مشکل امنیتی، محصولات Dell ControlVault3 نسخه‌های قبل از 5.15.14.19 و Dell ControlVault3 Plus نسخه‌های قبل از 6.2.36.47 را تحت تأثیر قرار می‌دهد.

در این آسیب‌پذیری، یک رمز عبور از پیش‌تعیین‌شده و غیرقابل‌تغییر در کدهای درایور وجود دارد. یک مهاجم می‌تواند با ارسال یک فراخوانی API (API Call) دستکاری‌شده و ویژه، از این رمز عبور ثابت برای اجرای دستورات با سطح دسترسی بالا سوءاستفاده کند.

تأثیرات: 💣
مهاجمی که بتواند از این آسیب‌پذیری بهره‌برداری کند، قادر خواهد بود عملیات با سطح دسترسی بالا (Privileged Operations) را بر روی سیستم هدف اجرا نماید.

این امر می‌تواند منجر به افزایش سطح دسترسی (Privilege Escalation)، دسترسی غیرمجاز به داده‌های حساس بیومتریک (مانند اثر انگشت) که توسط ControlVault مدیریت می‌شوند، و در نهایت به خطر افتادن کامل مؤلفه‌های امنیتی سیستم شود. در بدترین حالت، مهاجم می‌تواند کنترل کامل سیستم را در اختیار بگیرد.

سناریو: 🎭
یک مهاجم با دسترسی سطح پایین (Low-privileged) به یک سیستم Dell که از نسخه‌های آسیب‌پذیر درایور ControlVault استفاده می‌کند، نفوذ اولیه را به دست می‌آورد.

سپس، با ساخت و ارسال یک فراخوانی API دستکاری‌شده به درایور WBDI، از رمز عبور ثابت (Hard-coded) موجود در آن بهره‌برداری می‌کند.

این فراخوانی موفق، به مهاجم اجازه می‌دهد تا یک عملیات حساس را با سطح دسترسی مدیریتی (مانند SYSTEM) اجرا کرده و کنترل خود را بر روی سیستم افزایش دهد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-32089

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-32089
Dell ControlVault Buffer Overflow

---

آسیب‌پذیری:
یک آسیب‌پذیری از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-32089 در مؤلفه CvManager_SBI نرم‌افزار Dell ControlVault شناسایی شده است. این ضعف امنیتی نسخه‌های زیر را تحت تأثیر قرار می‌دهد:
- Dell ControlVault3 قبل از نسخه 5.15.14.19
- Dell ControlVault3 Plus قبل از نسخه 6.2.36.47
این مشکل زمانی رخ می‌دهد که یک فراخوانی API (ControlVault API) به شکل خاص و دستکاری‌شده به برنامه ارسال شود و منجر به سرریز حافظه گردد.

تأثیر:
موفقیت در بهره‌برداری از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کد دلخواه (Arbitrary Code Execution) را بر روی سیستم هدف اجرا کند. این امر می‌تواند منجر به کنترل کامل سیستم، سرقت اطلاعات حساس (مانند داده‌های بیومتریک و رمزهای عبور)، نصب بدافزار و یا افزایش سطح دسترسی در سیستم آسیب‌دیده شود.

سناریو:
مهاجمی که به سیستم دسترسی دارد (حتی با سطح دسترسی پایین) یا قادر به اجرای یک برنامه مخرب است، یک درخواست API دستکاری‌شده و حاوی داده‌های بیش از حد مجاز را به سرویس ControlVault ارسال می‌کند. این درخواست باعث سرریز شدن بافر در حافظه شده و به مهاجم این امکان را می‌دهد که آدرس بازگشت تابع را بازنویسی کرده و جریان اجرای برنامه را به سمت کدهای مخرب خود هدایت کند. در نتیجه، کد مهاجم با سطح دسترسی سرویس ControlVault بر روی سیستم قربانی اجرا می‌شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-36553

🟠 Risk Level: HIGH (Score: 8.8)

آسیب‌پذیری:

یک آسیب‌پذیری از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-36553 در قابلیت CvManager نرم‌افزار Dell ControlVault شناسایی شده است.

این ضعف امنیتی نسخه‌های زیر را تحت تأثیر قرار می‌دهد:
- نسخه‌های Dell ControlVault3 قبل از 5.15.14.19
- نسخه‌های Dell ControlVault3 Plus قبل از 6.2.36.47

مهاجم می‌تواند با ارسال یک فراخوانی API (ControlVault API) دستکاری‌شده، این آسیب‌پذیری را فعال کرده و باعث تخریب حافظه (Memory Corruption) شود.

---

تأثیر:

بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به اجرای کد دلخواه (Arbitrary Code Execution) بر روی سیستم آسیب‌دیده شود.

این امر به مهاجم اجازه می‌دهد تا کنترل کامل سیستم را در دست بگیرد، به اطلاعات حساس دسترسی پیدا کند، بدافزار نصب کند یا با ایجاد اختلال در سرویس (Denial of Service)، سیستم را از دسترس خارج نماید.

---

سناریو:

یک مهاجم با دسترسی اولیه به سیستم (حتی با سطح دسترسی پایین)، یک درخواست API مخرب و ویژه طراحی می‌کند.

این درخواست به سمت سرویس `ControlVault` ارسال می‌شود. به دلیل عدم بررسی صحیح داده‌های ورودی، سرریز بافر در حافظه رخ می‌دهد.

در نتیجه، مهاجم قادر خواهد بود کد مخرب خود را با سطح دسترسی فرآیند `ControlVault` که معمولاً بالا است، اجرا کرده و کنترل سیستم را به دست گیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-8693

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-8693

---

🛡️ شرح آسیب‌پذیری:

یک آسیب‌پذیری از نوع تزریق دستور (Command Injection) پس از احراز هویت در فریم‌ور مودم‌های Zyxel مدل DX3300-T0 شناسایی شده است.

این ضعف امنیتی با شناسه CVE-2025-8693 ردیابی می‌شود و نسخه‌های فریم‌ور 5.50(ABVY.6.3)C0 و قدیمی‌تر را تحت تأثیر قرار می‌دهد.

نقطه ضعف اصلی در پارامتر priv قرار دارد که ورودی کاربر را به درستی پاک‌سازی (Sanitize) نمی‌کند. در نتیجه، یک مهاجم که به پنل مدیریتی دستگاه دسترسی دارد، می‌تواند دستورات دلخواه سیستم‌عامل (OS) را روی دستگاه اجرا کند.

---

💣 تأثیرات:

بهره‌برداری موفق از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کنترل کامل دستگاه را در سطح سیستم‌عامل به دست آورد.

پیامدهای اصلی عبارتند از:
- اجرای دستورات دلخواه: امکان اجرای هرگونه دستور با سطح دسترسی بالا روی مودم.
- شنود ترافیک شبکه: سرقت اطلاعات حساس عبوری از شبکه داخلی.
- تبدیل دستگاه به بخشی از یک بات‌نت: استفاده از مودم برای حملات DDoS یا سایر فعالیت‌های مخرب.
- دسترسی به شبکه داخلی: استفاده از دستگاه به عنوان نقطه‌ای برای نفوذ به سایر سیستم‌های موجود در شبکه محلی.
- اختلال در سرویس (DoS): ایجاد اختلال در عملکرد شبکه و قطع دسترسی به اینترنت.

---

🎭 سناریوی حمله:

یک مهاجم ابتدا با استفاده از روش‌هایی مانند فیشینگ، حدس زدن رمزهای عبور ضعیف یا پیش‌فرض، به اطلاعات ورود به پنل مدیریتی مودم دست پیدا می‌کند.

پس از ورود به پنل، مهاجم یک درخواست HTTP دستکاری‌شده را به سمت دستگاه ارسال می‌کند که حاوی پارامتر آسیب‌پذیر priv است.

در مقدار این پارامتر، مهاجم دستورات مخرب سیستم‌عامل را تزریق می‌کند. برای مثال: ; reboot برای راه‌اندازی مجدد دستگاه یا دستوراتی پیچیده‌تر برای ایجاد یک در پشتی (Backdoor) مانند ; telnetd -l /bin/sh.

فریم‌ور دستگاه بدون اعتبارسنجی، این دستور را اجرا می‌کند و مهاجم به هدف خود (اجرای کد از راه دور) دست می‌یابد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-12974

🟠 Risk Level: HIGH (Score: 8.1)

تحلیل حرفه‌ای آسیب‌پذیری CVE-2025-12974

درود بر همراهان گرامی، گزارش تحلیلی آسیب‌پذیری جدید شناسایی شده در افزونه Gravity Forms به شرح زیر ارائه می‌گردد:

---

📌 شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-12974 در افزونه محبوب Gravity Forms برای وردپرس شناسایی شده است. این ضعف امنیتی در تمامی نسخه‌ها تا نسخه 2.9.21.1 (شامل این نسخه) وجود دارد و از نوع آپلود فایل دلخواه (Arbitrary File Upload) می‌باشد.

نقطه ضعف اصلی در مکانیزم قدیمی آپلود تکه‌ای (legacy chunked upload) این افزونه نهفته است. در این مکانیزم، اعتبارسنجی نوع فایل به درستی انجام نمی‌شود و لیست سیاه پسوندهای فایل (blacklist)، پسوند .phar را شامل نمی‌شود. در نتیجه، یک مهاجم بدون نیاز به احراز هویت قادر است فایل‌های اجرایی با این پسوند را بر روی سرور آپلود کند.

💥 تأثیر:

تأثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution - RCE) است. در صورت موفقیت‌آمیز بودن حمله، مهاجم می‌تواند کنترل کامل وب‌سایت و سرور میزبان را به دست گیرد. این امر می‌تواند منجر به سرقت اطلاعات حساس کاربران، تغییر چهره وب‌سایت (Defacement)، نصب بدافزار و استفاده از سرور برای حملات دیگر شود.

البته، دستیابی به RCE نیازمند دو شرط است: اول اینکه مهاجم بتواند مسیر دقیق فایل آپلود شده را پیدا کند و دوم اینکه وب‌سرور طوری پیکربندی شده باشد که فایل‌های .phar را همانند فایل‌های PHP پردازش و اجرا کند.

🎭 سناریوی حمله:

یک مهاجم غیر احراز هویت شده، یک وب‌سایت وردپرسی را که از نسخه آسیب‌پذیر افزونه Gravity Forms استفاده می‌کند، شناسایی می‌کند.

سپس، یک فایل حاوی کدهای مخرب (مانند یک وب‌شل) ایجاد کرده و آن را با پسوند .phar ذخیره می‌کند.

مهاجم با استفاده از نقص موجود در قابلیت آپلود تکه‌ای که در فرم‌های این افزونه وجود دارد، فایل مخرب .phar خود را بدون نیاز به لاگین کردن، روی سرور بارگذاری می‌کند.

در مرحله بعد، مهاجم باید مسیر دقیق فایل آپلود شده را بر روی سرور پیدا کند (معمولاً با روش‌های شمارش یا حدس زدن دایرکتوری‌ها).

در نهایت، با دسترسی به URL مستقیم فایل آپلود شده، اگر وب‌سرور به درستی پیکربندی نشده باشد و فایل‌های .phar را اجرا کند، کد مخرب فعال شده و مهاجم به سرور دسترسی پیدا می‌کند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-12775

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل و گزارش آسیب‌پذیری | CVE-2025-12775

---

📄 شرح آسیب‌پذیری:
آسیب‌پذیری از نوع آپلود فایل دلخواه (Arbitrary File Upload) در پلاگین WP Dropzone برای وردپرس شناسایی شده است. این ضعف امنیتی تمام نسخه‌های پلاگین تا نسخه 1.1.0 را تحت تأثیر قرار می‌دهد.

نقطه ضعف اصلی در تابع ajax_upload_handle و مکانیزم آپلود تکه‌ای (Chunked Upload) آن نهفته است. این تابع، فایل‌های آپلود شده را به صورت قطعه‌قطعه دریافت کرده و پیش از هرگونه اعتبارسنجی نوع فایل، آن‌ها را مستقیماً در دایرکتوری uploads سرور ذخیره می‌کند. این فرآیند به مهاجمان احراز هویت شده، حتی با پایین‌ترین سطح دسترسی مانند مشترک (Subscriber)، اجازه می‌دهد تا فایل‌های مخرب خود را بر روی سرور بارگذاری کنند.


🎯 تأثیر:
بالاترین سطح تأثیر این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution - RCE) است.

یک مهاجم با بهره‌برداری موفق از این حفره امنیتی می‌تواند کنترل کامل وب‌سایت را به دست آورد. پیامدهای این حمله شامل موارد زیر است:
- سرقت اطلاعات حساس کاربران و پایگاه داده.
- تغییر چهره وب‌سایت (Defacement).
- استفاده از سرور قربانی برای انجام حملات دیگر.
- نصب بدافزار و استخراج ارز دیجیتال (Cryptojacking).


🎬 سناریو حمله:
یک سناریوی محتمل برای بهره‌برداری از این آسیب‌پذیری به شرح زیر است:

۱. مهاجم یک حساب کاربری با حداقل دسترسی (مانند Subscriber) در وب‌سایت هدف ایجاد می‌کند.

۲. با استفاده از این حساب، مهاجم یک فایل شل مخرب (به عنوان مثال، یک فایل با پسوند .php) را از طریق قابلیت آپلود پلاگین WP Dropzone ارسال می‌کند. از آنجایی که پلاگین فایل را به صورت تکه‌تکه پردازش می‌کند، مکانیزم‌های امنیتی اولیه دور زده می‌شوند.

۳. پلاگین این تکه‌ها را در دایرکتوری /wp-content/uploads/ بازسازی کرده و فایل مخرب نهایی را بدون هیچ‌گونه بررسی امنیتی ذخیره می‌کند.

۴. در نهایت، مهاجم با دسترسی مستقیم به آدرس فایل آپلود شده در مرورگر (مثلاً https://example.com/wp-content/uploads/shell.php)، کد مخرب را بر روی سرور اجرا کرده و به آن دسترسی کامل پیدا می‌کند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13088

🟠 Risk Level: HIGH (Score: 8.8)

🚨 گزارش خلاصه تحلیل آسیب‌پذیری 🚨

شناسه: CVE-2025-13088
عنوان: Local File Inclusion در افزونه Category and Product Woocommerce Tabs وردپرس

---

Vulnerability Description:
آسیب‌پذیری از نوع گنجاندن فایل محلی (Local File Inclusion) در افزونه Category and Product Woocommerce Tabs برای وردپرس شناسایی شده است. این ضعف امنیتی در تمام نسخه‌ها تا نسخه 1.0 (و خود آن) وجود دارد.

ریشه مشکل، عدم اعتبارسنجی کافی ورودی در پارامتر template در تابع categoryProductTab() است. این نقص به مهاجمان احرازهویت‌شده با سطح دسترسی Contributor (مشارکت‌کننده) و بالاتر اجازه می‌دهد تا فایل‌های .php دلخواه موجود بر روی سرور را فراخوانی و اجرا کنند.

Impact:
موفقیت در بهره‌برداری از این آسیب‌پذیری می‌تواند منجر به اجرای کد از راه دور (RCE) شود که پیامدهای بسیار خطرناکی را به دنبال دارد:

🔴 تصاحب کامل وب‌سایت: مهاجم می‌تواند کنترل کامل سایت را به دست گرفته، محتوا را تغییر داده یا آن را از دسترس خارج کند.

🔴 نشت اطلاعات حساس: امکان دسترسی و سرقت اطلاعات محرمانه مانند اطلاعات کاربران، جزئیات سفارش‌ها یا اطلاعات اتصال به پایگاه داده (wp-config.php) وجود دارد.

🔴 نصب بک‌دور (Backdoor): مهاجم می‌تواند یک درب پشتی بر روی سرور نصب کند تا دسترسی پایدار و مخفیانه‌ای برای خود فراهم آورد.

🔴 گسترش حمله در شبکه داخلی: از سرور آلوده می‌توان به عنوان نقطه‌ای برای حمله به سایر سیستم‌های موجود در شبکه داخلی استفاده کرد.

Scenario:
یک سناریوی حمله محتمل به شرح زیر است:

1️⃣ مهاجم با استفاده از روش‌هایی مانند مهندسی اجتماعی یا حملات brute-force، به اعتبارنامه یک حساب کاربری با سطح دسترسی Contributor در وب‌سایت هدف دست پیدا می‌کند.

2️⃣ سپس، یک فایل .php حاوی کدهای مخرب (مانند یک web shell) را از طریق بخش آپلود رسانه وردپرس یا روش دیگری بر روی سرور بارگذاری می‌کند.

3️⃣ در مرحله بعد، مهاجم درخواستی دستکاری‌شده به سرور ارسال می‌کند و مقدار پارامتر template را برابر با مسیر فایل مخرب آپلودشده قرار می‌دهد.

4️⃣ تابع آسیب‌پذیر categoryProductTab() بدون اعتبارسنجی، مسیر فایل مخرب را به عنوان یک قالب معتبر در نظر گرفته و آن را فراخوانی و اجرا می‌کند. در نتیجه، کدهای مخرب مهاجم بر روی سرور اجرا شده و کنترل سیستم به دست او می‌افتد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-40548

🔴 Risk Level: CRITICAL (Score: 9.1)

📝 شرح آسیب‌پذیری:

آسیب‌پذیری با کد CVE-2025-40548 به یک نقص در فرآیند اعتبارسنجی ورودی‌ها در نرم‌افزار مدیریت فایل Serv-U اشاره دارد. این ضعف امنیتی به یک مهاجم که از قبل به امتیازات مدیریتی (Admin) در این نرم‌افزار دسترسی دارد، اجازه می‌دهد تا با ارسال درخواست‌های دستکاری‌شده، کد دلخواه خود را بر روی سرور اجرا نماید.

نکته کلیدی این است که بهره‌برداری از این آسیب‌پذیری نیازمند دسترسی اولیه به حساب کاربری مدیر است و به تنهایی برای نفوذ اولیه کاربرد ندارد.

💥 میزان تأثیر:

مهم‌ترین پیامد این آسیب‌پذیری، اجرای کد از راه دور (RCE) است. با این حال، به دلیل پیش‌نیاز دسترسی مدیریتی، شدت خطر آن به میزان قابل توجهی کاهش می‌یابد.

در سیستم‌عامل ویندوز، ریسک این آسیب‌پذیری متوسط ارزیابی شده است؛ زیرا سرویس Serv-U معمولاً با یک حساب کاربری با سطح دسترسی محدود (Less-Privileged Service Account) اجرا می‌شود. این بدان معناست که حتی در صورت اجرای کد، دسترسی مهاجم به کل سیستم‌عامل محدود خواهد بود.

🎭 سناریوی حمله:

یک مهاجم ابتدا باید از طریق روش دیگری (مانند فیشینگ، استفاده از رمز عبور ضعیف یا آسیب‌پذیری دیگر) به حساب کاربری مدیر نرم‌افزار Serv-U دسترسی پیدا کند.

سپس با ورود به پنل مدیریت، یک درخواست دستکاری‌شده به بخشی که دارای نقص اعتبارسنجی است، ارسال می‌کند.

این درخواست حاوی کد مخرب است که بر روی سرور اجرا شده و می‌تواند منجر به نصب بدافزار، سرقت اطلاعات یا ایجاد یک درب پشتی (Backdoor) برای دسترسی‌های آینده شود.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-40549

🔴 Risk Level: CRITICAL (Score: 9.1)

تحلیل حرفه‌ای آسیب‌پذیری CVE-2025-40549

---

Vulnerability Description:
یک آسیب‌پذیری از نوع Path Restriction Bypass (دور زدن محدودیت مسیر) در نرم‌افزار Serv-U شناسایی شده است. این ضعف امنیتی به یک مهاجم که از قبل به دسترسی مدیریتی (Admin) در سیستم دست یافته است، اجازه می‌دهد تا محدودیت‌های اعمال‌شده بر روی دایرکتوری‌ها را دور زده و کدی را در یک مسیر دلخواه اجرا کند.

نکته حائز اهمیت این است که بهره‌برداری از این آسیب‌پذیری نیازمند داشتن دسترسی سطح بالا (مدیریتی) است. به همین دلیل، در سیستم‌عامل‌های ویندوز، به دلیل تفاوت در نحوه مدیریت مسیرها و دایرکتوری‌های کاربران، شدت این آسیب‌پذیری متوسط (Medium) ارزیابی شده است.

Impact:
تأثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (RCE) است، البته با پیش‌نیاز دسترسی مدیریتی. مهاجمی که بتواند از این ضعف سوءاستفاده کند، قادر خواهد بود کنترل کامل سرور را در اختیار بگیرد.

این سطح از دسترسی می‌تواند منجر به نتایج مخرب زیر شود:
- سرقت اطلاعات حساس و داده‌های کاربران
- نصب بدافزار، باج‌افزار یا Backdoor بر روی سرور
- استفاده از سرور آلوده به عنوان پایگاهی برای حملات بیشتر به سایر سیستم‌ها در شبکه

Scenario:
یک سناریوی حمله محتمل می‌تواند به شکل زیر باشد:
1. مهاجم ابتدا از طریق روش‌های دیگر (مانند فیشینگ یا حملات جستجوی فراگیر) به نام کاربری و رمز عبور یک حساب با دسترسی Admin در پنل مدیریتی Serv-U دست پیدا می‌کند.

2. پس از ورود به پنل، مهاجم با بهره‌برداری از آسیب‌پذیری CVE-2025-40549، محدودیت‌های مسیری که برای حساب کاربری او تعریف شده را دور می‌زند.

3. سپس، یک فایل مخرب (مانند یک وب‌شل یا اسکریپت) را در یک دایرکتوری حساس و خارج از محدوده مجاز خود بارگذاری کرده و آن را اجرا می‌کند.

4. با اجرای موفقیت‌آمیز کد، مهاجم یک دسترسی مستقیم (Shell) به سرور پیدا کرده و کنترل کامل آن را به دست می‌آورد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-40547

🔴 Risk Level: CRITICAL (Score: 9.1)


🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13069

🟠 Risk Level: HIGH (Score: 8.8)


🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-41733

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل و گزارش آسیب‌پذیری | CVE-2025-41733

---

Vulnerability Description:
آسیب‌پذیری با شناسه CVE-2025-41733 مربوط به یک نقص جدی در فرآیند راه‌اندازی اولیه (Commissioning Wizard) دستگاه‌های تحت تأثیر است. مشکل اصلی اینجاست که این ویزارد بررسی نمی‌کند که آیا دستگاه قبلاً پیکربندی شده است یا خیر.

این ضعف به یک مهاجم اجازه می‌دهد تا فرآیند راه‌اندازی را مجدداً اجرا کرده و تنظیمات حیاتی دستگاه را بازنویسی کند، حتی اگر دستگاه در حال کار و عملیاتی باشد.

---

Impact:
مهاجم از راه دور و بدون نیاز به احراز هویت، می‌تواند با ارسال درخواست‌های POST دستکاری‌شده، اطلاعات کاربری ریشه (root) را بر روی دستگاه تنظیم یا بازنشانی کند.

این امر به مهاجم کنترل کامل و مطلق بر روی دستگاه آسیب‌پذیر را می‌دهد. پس از دسترسی root، مهاجم قادر خواهد بود اطلاعات حساس را سرقت کند، بدافزار نصب نماید، پیکربندی‌ها را تغییر دهد و یا از دستگاه به عنوان پایگاهی برای حملات بیشتر استفاده کند.

---

Scenario:
یک سناریوی حمله به شرح زیر است:

۱. مهاجم شبکه‌های عمومی یا داخلی را برای یافتن دستگاه‌های آسیب‌پذیر که پورت مدیریت آن‌ها در دسترس است، اسکن می‌کند.

۲. پس از یافتن یک دستگاه، حتی اگر آن دستگاه در حال استفاده و پیکربندی شده باشد، مهاجم متوجه می‌شود که ویزارد راه‌اندازی اولیه همچنان فعال و قابل دسترس است.

۳. مهاجم یک درخواست POST دستکاری‌شده به نقطه پایانی (endpoint) ویزارد ارسال می‌کند. این درخواست حاوی یک نام کاربری و رمز عبور جدید برای کاربر root است.

۴. ویزارد، بدون بررسی اینکه دستگاه قبلاً راه‌اندازی شده، درخواست را پذیرفته و رمز عبور کاربر root را به مقدار دلخواه مهاجم تغییر می‌دهد.

۵. در نتیجه، مهاجم با استفاده از اطلاعات جدید، به عنوان کاربر root وارد دستگاه شده و کنترل کامل آن را به دست می‌گیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-41736

🟠 Risk Level: HIGH (Score: 8.8)


🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-6670

🟠 Risk Level: HIGH (Score: 8.8)

گزارش تحلیل آسیب‌پذیری: CVE-2025-6670

📌 شرح آسیب‌پذیری:

یک آسیب‌پذیری از نوع جعل درخواست بین سایتی (CSRF) با شناسه CVE-2025-6670 در چندین محصول شرکت WSO2 شناسایی شده است. ریشه این مشکل، استفاده از متد HTTP GET برای اجرای عملیاتِ تغییردهنده وضعیت (state-changing) در سرویس‌های مدیریتی، به‌طور مشخص در بخش پردازشگر رویداد (event processor) کنسول Carbon است.

اگرچه خصیصه کوکی SameSite=Lax به عنوان یک مکانیزم دفاعی پیاده‌سازی شده، اما در این سناریو بی‌اثر است. دلیل این امر آن است که این خصیصه همچنان اجازه می‌دهد کوکی‌ها در درخواست‌های GET که از نوع ناوبری سطح بالای بین مبدأ (cross-origin top-level navigation) هستند، ارسال شوند. این ضعف به یک عامل مخرب اجازه می‌دهد تا با فریب یک کاربر احرازهویت‌شده، مرورگر وی را وادار به ارسال درخواست‌های ناخواسته به سرور کند.

💥 تأثیرات:

در صورت بهره‌برداری موفقیت‌آمیز، مهاجم می‌تواند عملیات غیرمجازی را از طرف کاربر قربانی (که معمولاً دارای سطح دسترسی مدیریتی است) اجرا کند. این عملیات می‌تواند شامل موارد زیر باشد:

- اصلاح یا حذف داده‌های حساس
- تغییر در تنظیمات حساب‌های کاربری
- اجرای سایر اقدامات مدیریتی مخرب

طبق دستورالعمل‌های امنیتی WSO2، عدم قرار دادن کنسول Carbon در معرض شبکه‌های غیرقابل اعتماد (مانند اینترنت عمومی) توصیه شده است. این اقدام می‌تواند تأثیر آسیب‌پذیری را در محیط‌هایی که به درستی پیکربندی شده‌اند، به میزان قابل توجهی کاهش دهد.

🎭 سناریوی حمله:

یک سناریوی حمله محتمل به شرح زیر است:

۱. یک مدیر سیستم (قربانی) وارد کنسول مدیریتی WSO2 Carbon شده و یک نشست (session) فعال دارد.

۲. مهاجم یک لینک مخرب ایجاد می‌کند. این لینک به گونه‌ای طراحی شده که یک درخواست GET به یکی از نقاط پایانی (endpoint) آسیب‌پذیر در کنسول Carbon ارسال کند. برای مثال، لینکی برای حذف یک پردازشگر رویداد مهم:
برای مشاهده گزارش کلیک کنید

۳. مهاجم این لینک را از طریق ایمیل، پیام‌رسان یا یک وب‌سایت، برای مدیر سیستم ارسال می‌کند و او را برای کلیک کردن روی آن فریب می‌دهد.

۴. به محض کلیک کردن قربانی روی لینک، مرورگر یک درخواست GET به آدرس مشخص‌شده ارسال می‌کند. از آنجایی که این یک ناوبری سطح بالا است، کوکی نشست معتبر قربانی به همراه درخواست ارسال می‌شود.

۵. سرور WSO2 درخواست را دریافت کرده، کوکی را معتبر می‌داند و عملیات مخرب (در این مثال، حذف پردازشگر رویداد) را با موفقیت اجرا می‌کند، زیرا تصور می‌کند درخواست از طرف خودِ مدیر سیستم صادر شده است.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-9312

🔴 Risk Level: CRITICAL (Score: 9.8)

📝 شرح آسیب‌پذیری:

یک آسیب‌پذیری جدی با شناسه CVE-2025-9312 در محصولات متعدد شرکت WSO2 شناسایی شده است. این ضعف امنیتی مربوط به عدم اجرای صحیح احراز هویت در پیاده‌سازی Mutual TLS (mTLS) برای System REST APIs و سرویس‌های SOAP است.

در تنظیمات پیش‌فرض، سیستم به درستی گواهی کلاینت (Client Certificate) را اعتبارسنجی نمی‌کند. در نتیجه، حتی زمانی که mTLS فعال شده باشد، این رابط‌ها ممکن است درخواست‌های فاقد احراز هویت معتبر را بپذیرند. این آسیب‌پذیری تنها در صورتی قابل بهره‌برداری است که mTLS برای این سرویس‌ها فعال و از طریق شبکه در دسترس باشد.

🚨 تأثیر:

بهره‌برداری موفق از این آسیب‌پذیری به یک مهاجم با دسترسی شبکه به نقاط پایانی (endpoints) آسیب‌پذیر، اجازه می‌دهد تا به سطح دسترسی مدیریتی (Administrative Privileges) دست یابد.

پس از کسب این سطح از دسترسی، مهاجم قادر خواهد بود عملیات غیرمجاز گسترده‌ای مانند دسترسی به داده‌های حساس، تغییر پیکربندی‌های حیاتی سیستم، و یا از کار انداختن کامل سرویس‌ها را انجام دهد.

🎭 سناریوی حمله:

یک مهاجم شبکه داخلی سازمانی را که از محصولات آسیب‌پذیر WSO2 استفاده می‌کند، اسکن کرده و یک System REST API را که با تنظیمات پیش‌فرض mTLS فعال شده است، شناسایی می‌کند.

مهاجم یک درخواست مخرب (مثلاً برای ایجاد یک کاربر مدیر جدید) را بدون ارائه گواهی کلاینت معتبر به این API ارسال می‌کند.

به دلیل وجود آسیب‌پذیری، سیستم به اشتباه این درخواست را پردازش کرده و آن را معتبر تلقی می‌کند. در نتیجه، درخواست مهاجم با موفقیت اجرا شده و به او دسترسی با اختیارات کامل مدیریتی داده می‌شود.

---

توصیه می‌شود مدیران سیستم فوراً تنظیمات mTLS را در محصولات WSO2 خود بررسی کرده و از اجرای صحیح و کامل فرآیند احراز هویت اطمینان حاصل کنند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-58692

🟠 Risk Level: HIGH (Score: 8.8)

🚨 تحلیل آسیب‌پذیری حیاتی در Fortinet FortiVoice
CVE-2025-58692

---

🔍 شرح آسیب‌پذیری:

یک آسیب‌پذیری از نوع تزریق SQL یا SQL Injection با شناسه CWE-89 در محصول FortiVoice شرکت Fortinet شناسایی شده است. این ضعف امنیتی ناشی از عدم پاکسازی و اعتبارسنجی صحیح ورودی‌های کاربر در دستورات ارسالی به پایگاه داده است.

نسخه‌های زیر تحت تأثیر این آسیب‌پذیری قرار دارند:
• FortiVoice 7.2.0 تا 7.2.2
• FortiVoice 7.0.0 تا 7.0.7

💥 پیامدها:

یک مهاجم احرازهویت‌شده (Authenticated) می‌تواند با ارسال درخواست‌های دستکاری‌شده HTTP یا HTTPS، کد یا دستورات دلخواه را بر روی سیستم هدف اجرا کند. این امر می‌تواند منجر به در اختیار گرفتن کامل کنترل سیستم، سرقت اطلاعات حساس، دستکاری داده‌ها یا اختلال در سرویس‌دهی شود.

🎬 سناریوی حمله:

مهاجمی که به سیستم دسترسی کاربری (حتی با سطح دسترسی پایین) دارد، یک درخواست وب به یکی از بخش‌های آسیب‌پذیر پنل مدیریت FortiVoice ارسال می‌کند. در این درخواست، کدهای مخرب SQL را در یکی از پارامترها تزریق می‌کند. به دلیل عدم خنثی‌سازی کاراکترهای ویژه، این کدها مستقیماً در پایگاه داده اجرا شده و به مهاجم اجازه اجرای دستورات غیرمجاز در سطح سیستم‌عامل را می‌دهند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

سلام و وقت بخیر به همه‌ی همراهان عزیز 🌹
به دلیل ریپورت شدن کانال قبلی @RedTeamApt از این پس فعالیت ما در کانال جدید ادامه خواهد داشت.

🔹 آدرس کانال جدید:
@RedTeamApt1

🔹 گروه جدید:
@RedTeamGP

ممنون از همراهی و حمایت همیشگی شما 🙏✨