🚨 New Vulnerability Alert: CVE-2025-32089

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-32089
Dell ControlVault Buffer Overflow

---

آسیب‌پذیری:
یک آسیب‌پذیری از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-32089 در مؤلفه CvManager_SBI نرم‌افزار Dell ControlVault شناسایی شده است. این ضعف امنیتی نسخه‌های زیر را تحت تأثیر قرار می‌دهد:
- Dell ControlVault3 قبل از نسخه 5.15.14.19
- Dell ControlVault3 Plus قبل از نسخه 6.2.36.47
این مشکل زمانی رخ می‌دهد که یک فراخوانی API (ControlVault API) به شکل خاص و دستکاری‌شده به برنامه ارسال شود و منجر به سرریز حافظه گردد.

تأثیر:
موفقیت در بهره‌برداری از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کد دلخواه (Arbitrary Code Execution) را بر روی سیستم هدف اجرا کند. این امر می‌تواند منجر به کنترل کامل سیستم، سرقت اطلاعات حساس (مانند داده‌های بیومتریک و رمزهای عبور)، نصب بدافزار و یا افزایش سطح دسترسی در سیستم آسیب‌دیده شود.

سناریو:
مهاجمی که به سیستم دسترسی دارد (حتی با سطح دسترسی پایین) یا قادر به اجرای یک برنامه مخرب است، یک درخواست API دستکاری‌شده و حاوی داده‌های بیش از حد مجاز را به سرویس ControlVault ارسال می‌کند. این درخواست باعث سرریز شدن بافر در حافظه شده و به مهاجم این امکان را می‌دهد که آدرس بازگشت تابع را بازنویسی کرده و جریان اجرای برنامه را به سمت کدهای مخرب خود هدایت کند. در نتیجه، کد مهاجم با سطح دسترسی سرویس ControlVault بر روی سیستم قربانی اجرا می‌شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-36553

🟠 Risk Level: HIGH (Score: 8.8)

آسیب‌پذیری:

یک آسیب‌پذیری از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-36553 در قابلیت CvManager نرم‌افزار Dell ControlVault شناسایی شده است.

این ضعف امنیتی نسخه‌های زیر را تحت تأثیر قرار می‌دهد:
- نسخه‌های Dell ControlVault3 قبل از 5.15.14.19
- نسخه‌های Dell ControlVault3 Plus قبل از 6.2.36.47

مهاجم می‌تواند با ارسال یک فراخوانی API (ControlVault API) دستکاری‌شده، این آسیب‌پذیری را فعال کرده و باعث تخریب حافظه (Memory Corruption) شود.

---

تأثیر:

بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به اجرای کد دلخواه (Arbitrary Code Execution) بر روی سیستم آسیب‌دیده شود.

این امر به مهاجم اجازه می‌دهد تا کنترل کامل سیستم را در دست بگیرد، به اطلاعات حساس دسترسی پیدا کند، بدافزار نصب کند یا با ایجاد اختلال در سرویس (Denial of Service)، سیستم را از دسترس خارج نماید.

---

سناریو:

یک مهاجم با دسترسی اولیه به سیستم (حتی با سطح دسترسی پایین)، یک درخواست API مخرب و ویژه طراحی می‌کند.

این درخواست به سمت سرویس `ControlVault` ارسال می‌شود. به دلیل عدم بررسی صحیح داده‌های ورودی، سرریز بافر در حافظه رخ می‌دهد.

در نتیجه، مهاجم قادر خواهد بود کد مخرب خود را با سطح دسترسی فرآیند `ControlVault` که معمولاً بالا است، اجرا کرده و کنترل سیستم را به دست گیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-8693

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-8693

---

🛡️ شرح آسیب‌پذیری:

یک آسیب‌پذیری از نوع تزریق دستور (Command Injection) پس از احراز هویت در فریم‌ور مودم‌های Zyxel مدل DX3300-T0 شناسایی شده است.

این ضعف امنیتی با شناسه CVE-2025-8693 ردیابی می‌شود و نسخه‌های فریم‌ور 5.50(ABVY.6.3)C0 و قدیمی‌تر را تحت تأثیر قرار می‌دهد.

نقطه ضعف اصلی در پارامتر priv قرار دارد که ورودی کاربر را به درستی پاک‌سازی (Sanitize) نمی‌کند. در نتیجه، یک مهاجم که به پنل مدیریتی دستگاه دسترسی دارد، می‌تواند دستورات دلخواه سیستم‌عامل (OS) را روی دستگاه اجرا کند.

---

💣 تأثیرات:

بهره‌برداری موفق از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کنترل کامل دستگاه را در سطح سیستم‌عامل به دست آورد.

پیامدهای اصلی عبارتند از:
- اجرای دستورات دلخواه: امکان اجرای هرگونه دستور با سطح دسترسی بالا روی مودم.
- شنود ترافیک شبکه: سرقت اطلاعات حساس عبوری از شبکه داخلی.
- تبدیل دستگاه به بخشی از یک بات‌نت: استفاده از مودم برای حملات DDoS یا سایر فعالیت‌های مخرب.
- دسترسی به شبکه داخلی: استفاده از دستگاه به عنوان نقطه‌ای برای نفوذ به سایر سیستم‌های موجود در شبکه محلی.
- اختلال در سرویس (DoS): ایجاد اختلال در عملکرد شبکه و قطع دسترسی به اینترنت.

---

🎭 سناریوی حمله:

یک مهاجم ابتدا با استفاده از روش‌هایی مانند فیشینگ، حدس زدن رمزهای عبور ضعیف یا پیش‌فرض، به اطلاعات ورود به پنل مدیریتی مودم دست پیدا می‌کند.

پس از ورود به پنل، مهاجم یک درخواست HTTP دستکاری‌شده را به سمت دستگاه ارسال می‌کند که حاوی پارامتر آسیب‌پذیر priv است.

در مقدار این پارامتر، مهاجم دستورات مخرب سیستم‌عامل را تزریق می‌کند. برای مثال: ; reboot برای راه‌اندازی مجدد دستگاه یا دستوراتی پیچیده‌تر برای ایجاد یک در پشتی (Backdoor) مانند ; telnetd -l /bin/sh.

فریم‌ور دستگاه بدون اعتبارسنجی، این دستور را اجرا می‌کند و مهاجم به هدف خود (اجرای کد از راه دور) دست می‌یابد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-12974

🟠 Risk Level: HIGH (Score: 8.1)

تحلیل حرفه‌ای آسیب‌پذیری CVE-2025-12974

درود بر همراهان گرامی، گزارش تحلیلی آسیب‌پذیری جدید شناسایی شده در افزونه Gravity Forms به شرح زیر ارائه می‌گردد:

---

📌 شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-12974 در افزونه محبوب Gravity Forms برای وردپرس شناسایی شده است. این ضعف امنیتی در تمامی نسخه‌ها تا نسخه 2.9.21.1 (شامل این نسخه) وجود دارد و از نوع آپلود فایل دلخواه (Arbitrary File Upload) می‌باشد.

نقطه ضعف اصلی در مکانیزم قدیمی آپلود تکه‌ای (legacy chunked upload) این افزونه نهفته است. در این مکانیزم، اعتبارسنجی نوع فایل به درستی انجام نمی‌شود و لیست سیاه پسوندهای فایل (blacklist)، پسوند .phar را شامل نمی‌شود. در نتیجه، یک مهاجم بدون نیاز به احراز هویت قادر است فایل‌های اجرایی با این پسوند را بر روی سرور آپلود کند.

💥 تأثیر:

تأثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution - RCE) است. در صورت موفقیت‌آمیز بودن حمله، مهاجم می‌تواند کنترل کامل وب‌سایت و سرور میزبان را به دست گیرد. این امر می‌تواند منجر به سرقت اطلاعات حساس کاربران، تغییر چهره وب‌سایت (Defacement)، نصب بدافزار و استفاده از سرور برای حملات دیگر شود.

البته، دستیابی به RCE نیازمند دو شرط است: اول اینکه مهاجم بتواند مسیر دقیق فایل آپلود شده را پیدا کند و دوم اینکه وب‌سرور طوری پیکربندی شده باشد که فایل‌های .phar را همانند فایل‌های PHP پردازش و اجرا کند.

🎭 سناریوی حمله:

یک مهاجم غیر احراز هویت شده، یک وب‌سایت وردپرسی را که از نسخه آسیب‌پذیر افزونه Gravity Forms استفاده می‌کند، شناسایی می‌کند.

سپس، یک فایل حاوی کدهای مخرب (مانند یک وب‌شل) ایجاد کرده و آن را با پسوند .phar ذخیره می‌کند.

مهاجم با استفاده از نقص موجود در قابلیت آپلود تکه‌ای که در فرم‌های این افزونه وجود دارد، فایل مخرب .phar خود را بدون نیاز به لاگین کردن، روی سرور بارگذاری می‌کند.

در مرحله بعد، مهاجم باید مسیر دقیق فایل آپلود شده را بر روی سرور پیدا کند (معمولاً با روش‌های شمارش یا حدس زدن دایرکتوری‌ها).

در نهایت، با دسترسی به URL مستقیم فایل آپلود شده، اگر وب‌سرور به درستی پیکربندی نشده باشد و فایل‌های .phar را اجرا کند، کد مخرب فعال شده و مهاجم به سرور دسترسی پیدا می‌کند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-12775

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل و گزارش آسیب‌پذیری | CVE-2025-12775

---

📄 شرح آسیب‌پذیری:
آسیب‌پذیری از نوع آپلود فایل دلخواه (Arbitrary File Upload) در پلاگین WP Dropzone برای وردپرس شناسایی شده است. این ضعف امنیتی تمام نسخه‌های پلاگین تا نسخه 1.1.0 را تحت تأثیر قرار می‌دهد.

نقطه ضعف اصلی در تابع ajax_upload_handle و مکانیزم آپلود تکه‌ای (Chunked Upload) آن نهفته است. این تابع، فایل‌های آپلود شده را به صورت قطعه‌قطعه دریافت کرده و پیش از هرگونه اعتبارسنجی نوع فایل، آن‌ها را مستقیماً در دایرکتوری uploads سرور ذخیره می‌کند. این فرآیند به مهاجمان احراز هویت شده، حتی با پایین‌ترین سطح دسترسی مانند مشترک (Subscriber)، اجازه می‌دهد تا فایل‌های مخرب خود را بر روی سرور بارگذاری کنند.


🎯 تأثیر:
بالاترین سطح تأثیر این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution - RCE) است.

یک مهاجم با بهره‌برداری موفق از این حفره امنیتی می‌تواند کنترل کامل وب‌سایت را به دست آورد. پیامدهای این حمله شامل موارد زیر است:
- سرقت اطلاعات حساس کاربران و پایگاه داده.
- تغییر چهره وب‌سایت (Defacement).
- استفاده از سرور قربانی برای انجام حملات دیگر.
- نصب بدافزار و استخراج ارز دیجیتال (Cryptojacking).


🎬 سناریو حمله:
یک سناریوی محتمل برای بهره‌برداری از این آسیب‌پذیری به شرح زیر است:

۱. مهاجم یک حساب کاربری با حداقل دسترسی (مانند Subscriber) در وب‌سایت هدف ایجاد می‌کند.

۲. با استفاده از این حساب، مهاجم یک فایل شل مخرب (به عنوان مثال، یک فایل با پسوند .php) را از طریق قابلیت آپلود پلاگین WP Dropzone ارسال می‌کند. از آنجایی که پلاگین فایل را به صورت تکه‌تکه پردازش می‌کند، مکانیزم‌های امنیتی اولیه دور زده می‌شوند.

۳. پلاگین این تکه‌ها را در دایرکتوری /wp-content/uploads/ بازسازی کرده و فایل مخرب نهایی را بدون هیچ‌گونه بررسی امنیتی ذخیره می‌کند.

۴. در نهایت، مهاجم با دسترسی مستقیم به آدرس فایل آپلود شده در مرورگر (مثلاً https://example.com/wp-content/uploads/shell.php)، کد مخرب را بر روی سرور اجرا کرده و به آن دسترسی کامل پیدا می‌کند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13088

🟠 Risk Level: HIGH (Score: 8.8)

🚨 گزارش خلاصه تحلیل آسیب‌پذیری 🚨

شناسه: CVE-2025-13088
عنوان: Local File Inclusion در افزونه Category and Product Woocommerce Tabs وردپرس

---

Vulnerability Description:
آسیب‌پذیری از نوع گنجاندن فایل محلی (Local File Inclusion) در افزونه Category and Product Woocommerce Tabs برای وردپرس شناسایی شده است. این ضعف امنیتی در تمام نسخه‌ها تا نسخه 1.0 (و خود آن) وجود دارد.

ریشه مشکل، عدم اعتبارسنجی کافی ورودی در پارامتر template در تابع categoryProductTab() است. این نقص به مهاجمان احرازهویت‌شده با سطح دسترسی Contributor (مشارکت‌کننده) و بالاتر اجازه می‌دهد تا فایل‌های .php دلخواه موجود بر روی سرور را فراخوانی و اجرا کنند.

Impact:
موفقیت در بهره‌برداری از این آسیب‌پذیری می‌تواند منجر به اجرای کد از راه دور (RCE) شود که پیامدهای بسیار خطرناکی را به دنبال دارد:

🔴 تصاحب کامل وب‌سایت: مهاجم می‌تواند کنترل کامل سایت را به دست گرفته، محتوا را تغییر داده یا آن را از دسترس خارج کند.

🔴 نشت اطلاعات حساس: امکان دسترسی و سرقت اطلاعات محرمانه مانند اطلاعات کاربران، جزئیات سفارش‌ها یا اطلاعات اتصال به پایگاه داده (wp-config.php) وجود دارد.

🔴 نصب بک‌دور (Backdoor): مهاجم می‌تواند یک درب پشتی بر روی سرور نصب کند تا دسترسی پایدار و مخفیانه‌ای برای خود فراهم آورد.

🔴 گسترش حمله در شبکه داخلی: از سرور آلوده می‌توان به عنوان نقطه‌ای برای حمله به سایر سیستم‌های موجود در شبکه داخلی استفاده کرد.

Scenario:
یک سناریوی حمله محتمل به شرح زیر است:

1️⃣ مهاجم با استفاده از روش‌هایی مانند مهندسی اجتماعی یا حملات brute-force، به اعتبارنامه یک حساب کاربری با سطح دسترسی Contributor در وب‌سایت هدف دست پیدا می‌کند.

2️⃣ سپس، یک فایل .php حاوی کدهای مخرب (مانند یک web shell) را از طریق بخش آپلود رسانه وردپرس یا روش دیگری بر روی سرور بارگذاری می‌کند.

3️⃣ در مرحله بعد، مهاجم درخواستی دستکاری‌شده به سرور ارسال می‌کند و مقدار پارامتر template را برابر با مسیر فایل مخرب آپلودشده قرار می‌دهد.

4️⃣ تابع آسیب‌پذیر categoryProductTab() بدون اعتبارسنجی، مسیر فایل مخرب را به عنوان یک قالب معتبر در نظر گرفته و آن را فراخوانی و اجرا می‌کند. در نتیجه، کدهای مخرب مهاجم بر روی سرور اجرا شده و کنترل سیستم به دست او می‌افتد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-40548

🔴 Risk Level: CRITICAL (Score: 9.1)

📝 شرح آسیب‌پذیری:

آسیب‌پذیری با کد CVE-2025-40548 به یک نقص در فرآیند اعتبارسنجی ورودی‌ها در نرم‌افزار مدیریت فایل Serv-U اشاره دارد. این ضعف امنیتی به یک مهاجم که از قبل به امتیازات مدیریتی (Admin) در این نرم‌افزار دسترسی دارد، اجازه می‌دهد تا با ارسال درخواست‌های دستکاری‌شده، کد دلخواه خود را بر روی سرور اجرا نماید.

نکته کلیدی این است که بهره‌برداری از این آسیب‌پذیری نیازمند دسترسی اولیه به حساب کاربری مدیر است و به تنهایی برای نفوذ اولیه کاربرد ندارد.

💥 میزان تأثیر:

مهم‌ترین پیامد این آسیب‌پذیری، اجرای کد از راه دور (RCE) است. با این حال، به دلیل پیش‌نیاز دسترسی مدیریتی، شدت خطر آن به میزان قابل توجهی کاهش می‌یابد.

در سیستم‌عامل ویندوز، ریسک این آسیب‌پذیری متوسط ارزیابی شده است؛ زیرا سرویس Serv-U معمولاً با یک حساب کاربری با سطح دسترسی محدود (Less-Privileged Service Account) اجرا می‌شود. این بدان معناست که حتی در صورت اجرای کد، دسترسی مهاجم به کل سیستم‌عامل محدود خواهد بود.

🎭 سناریوی حمله:

یک مهاجم ابتدا باید از طریق روش دیگری (مانند فیشینگ، استفاده از رمز عبور ضعیف یا آسیب‌پذیری دیگر) به حساب کاربری مدیر نرم‌افزار Serv-U دسترسی پیدا کند.

سپس با ورود به پنل مدیریت، یک درخواست دستکاری‌شده به بخشی که دارای نقص اعتبارسنجی است، ارسال می‌کند.

این درخواست حاوی کد مخرب است که بر روی سرور اجرا شده و می‌تواند منجر به نصب بدافزار، سرقت اطلاعات یا ایجاد یک درب پشتی (Backdoor) برای دسترسی‌های آینده شود.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-40549

🔴 Risk Level: CRITICAL (Score: 9.1)

تحلیل حرفه‌ای آسیب‌پذیری CVE-2025-40549

---

Vulnerability Description:
یک آسیب‌پذیری از نوع Path Restriction Bypass (دور زدن محدودیت مسیر) در نرم‌افزار Serv-U شناسایی شده است. این ضعف امنیتی به یک مهاجم که از قبل به دسترسی مدیریتی (Admin) در سیستم دست یافته است، اجازه می‌دهد تا محدودیت‌های اعمال‌شده بر روی دایرکتوری‌ها را دور زده و کدی را در یک مسیر دلخواه اجرا کند.

نکته حائز اهمیت این است که بهره‌برداری از این آسیب‌پذیری نیازمند داشتن دسترسی سطح بالا (مدیریتی) است. به همین دلیل، در سیستم‌عامل‌های ویندوز، به دلیل تفاوت در نحوه مدیریت مسیرها و دایرکتوری‌های کاربران، شدت این آسیب‌پذیری متوسط (Medium) ارزیابی شده است.

Impact:
تأثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (RCE) است، البته با پیش‌نیاز دسترسی مدیریتی. مهاجمی که بتواند از این ضعف سوءاستفاده کند، قادر خواهد بود کنترل کامل سرور را در اختیار بگیرد.

این سطح از دسترسی می‌تواند منجر به نتایج مخرب زیر شود:
- سرقت اطلاعات حساس و داده‌های کاربران
- نصب بدافزار، باج‌افزار یا Backdoor بر روی سرور
- استفاده از سرور آلوده به عنوان پایگاهی برای حملات بیشتر به سایر سیستم‌ها در شبکه

Scenario:
یک سناریوی حمله محتمل می‌تواند به شکل زیر باشد:
1. مهاجم ابتدا از طریق روش‌های دیگر (مانند فیشینگ یا حملات جستجوی فراگیر) به نام کاربری و رمز عبور یک حساب با دسترسی Admin در پنل مدیریتی Serv-U دست پیدا می‌کند.

2. پس از ورود به پنل، مهاجم با بهره‌برداری از آسیب‌پذیری CVE-2025-40549، محدودیت‌های مسیری که برای حساب کاربری او تعریف شده را دور می‌زند.

3. سپس، یک فایل مخرب (مانند یک وب‌شل یا اسکریپت) را در یک دایرکتوری حساس و خارج از محدوده مجاز خود بارگذاری کرده و آن را اجرا می‌کند.

4. با اجرای موفقیت‌آمیز کد، مهاجم یک دسترسی مستقیم (Shell) به سرور پیدا کرده و کنترل کامل آن را به دست می‌آورد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-40547

🔴 Risk Level: CRITICAL (Score: 9.1)


🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13069

🟠 Risk Level: HIGH (Score: 8.8)


🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-41733

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل و گزارش آسیب‌پذیری | CVE-2025-41733

---

Vulnerability Description:
آسیب‌پذیری با شناسه CVE-2025-41733 مربوط به یک نقص جدی در فرآیند راه‌اندازی اولیه (Commissioning Wizard) دستگاه‌های تحت تأثیر است. مشکل اصلی اینجاست که این ویزارد بررسی نمی‌کند که آیا دستگاه قبلاً پیکربندی شده است یا خیر.

این ضعف به یک مهاجم اجازه می‌دهد تا فرآیند راه‌اندازی را مجدداً اجرا کرده و تنظیمات حیاتی دستگاه را بازنویسی کند، حتی اگر دستگاه در حال کار و عملیاتی باشد.

---

Impact:
مهاجم از راه دور و بدون نیاز به احراز هویت، می‌تواند با ارسال درخواست‌های POST دستکاری‌شده، اطلاعات کاربری ریشه (root) را بر روی دستگاه تنظیم یا بازنشانی کند.

این امر به مهاجم کنترل کامل و مطلق بر روی دستگاه آسیب‌پذیر را می‌دهد. پس از دسترسی root، مهاجم قادر خواهد بود اطلاعات حساس را سرقت کند، بدافزار نصب نماید، پیکربندی‌ها را تغییر دهد و یا از دستگاه به عنوان پایگاهی برای حملات بیشتر استفاده کند.

---

Scenario:
یک سناریوی حمله به شرح زیر است:

۱. مهاجم شبکه‌های عمومی یا داخلی را برای یافتن دستگاه‌های آسیب‌پذیر که پورت مدیریت آن‌ها در دسترس است، اسکن می‌کند.

۲. پس از یافتن یک دستگاه، حتی اگر آن دستگاه در حال استفاده و پیکربندی شده باشد، مهاجم متوجه می‌شود که ویزارد راه‌اندازی اولیه همچنان فعال و قابل دسترس است.

۳. مهاجم یک درخواست POST دستکاری‌شده به نقطه پایانی (endpoint) ویزارد ارسال می‌کند. این درخواست حاوی یک نام کاربری و رمز عبور جدید برای کاربر root است.

۴. ویزارد، بدون بررسی اینکه دستگاه قبلاً راه‌اندازی شده، درخواست را پذیرفته و رمز عبور کاربر root را به مقدار دلخواه مهاجم تغییر می‌دهد.

۵. در نتیجه، مهاجم با استفاده از اطلاعات جدید، به عنوان کاربر root وارد دستگاه شده و کنترل کامل آن را به دست می‌گیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-41736

🟠 Risk Level: HIGH (Score: 8.8)


🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-6670

🟠 Risk Level: HIGH (Score: 8.8)

گزارش تحلیل آسیب‌پذیری: CVE-2025-6670

📌 شرح آسیب‌پذیری:

یک آسیب‌پذیری از نوع جعل درخواست بین سایتی (CSRF) با شناسه CVE-2025-6670 در چندین محصول شرکت WSO2 شناسایی شده است. ریشه این مشکل، استفاده از متد HTTP GET برای اجرای عملیاتِ تغییردهنده وضعیت (state-changing) در سرویس‌های مدیریتی، به‌طور مشخص در بخش پردازشگر رویداد (event processor) کنسول Carbon است.

اگرچه خصیصه کوکی SameSite=Lax به عنوان یک مکانیزم دفاعی پیاده‌سازی شده، اما در این سناریو بی‌اثر است. دلیل این امر آن است که این خصیصه همچنان اجازه می‌دهد کوکی‌ها در درخواست‌های GET که از نوع ناوبری سطح بالای بین مبدأ (cross-origin top-level navigation) هستند، ارسال شوند. این ضعف به یک عامل مخرب اجازه می‌دهد تا با فریب یک کاربر احرازهویت‌شده، مرورگر وی را وادار به ارسال درخواست‌های ناخواسته به سرور کند.

💥 تأثیرات:

در صورت بهره‌برداری موفقیت‌آمیز، مهاجم می‌تواند عملیات غیرمجازی را از طرف کاربر قربانی (که معمولاً دارای سطح دسترسی مدیریتی است) اجرا کند. این عملیات می‌تواند شامل موارد زیر باشد:

- اصلاح یا حذف داده‌های حساس
- تغییر در تنظیمات حساب‌های کاربری
- اجرای سایر اقدامات مدیریتی مخرب

طبق دستورالعمل‌های امنیتی WSO2، عدم قرار دادن کنسول Carbon در معرض شبکه‌های غیرقابل اعتماد (مانند اینترنت عمومی) توصیه شده است. این اقدام می‌تواند تأثیر آسیب‌پذیری را در محیط‌هایی که به درستی پیکربندی شده‌اند، به میزان قابل توجهی کاهش دهد.

🎭 سناریوی حمله:

یک سناریوی حمله محتمل به شرح زیر است:

۱. یک مدیر سیستم (قربانی) وارد کنسول مدیریتی WSO2 Carbon شده و یک نشست (session) فعال دارد.

۲. مهاجم یک لینک مخرب ایجاد می‌کند. این لینک به گونه‌ای طراحی شده که یک درخواست GET به یکی از نقاط پایانی (endpoint) آسیب‌پذیر در کنسول Carbon ارسال کند. برای مثال، لینکی برای حذف یک پردازشگر رویداد مهم:
برای مشاهده گزارش کلیک کنید

۳. مهاجم این لینک را از طریق ایمیل، پیام‌رسان یا یک وب‌سایت، برای مدیر سیستم ارسال می‌کند و او را برای کلیک کردن روی آن فریب می‌دهد.

۴. به محض کلیک کردن قربانی روی لینک، مرورگر یک درخواست GET به آدرس مشخص‌شده ارسال می‌کند. از آنجایی که این یک ناوبری سطح بالا است، کوکی نشست معتبر قربانی به همراه درخواست ارسال می‌شود.

۵. سرور WSO2 درخواست را دریافت کرده، کوکی را معتبر می‌داند و عملیات مخرب (در این مثال، حذف پردازشگر رویداد) را با موفقیت اجرا می‌کند، زیرا تصور می‌کند درخواست از طرف خودِ مدیر سیستم صادر شده است.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-9312

🔴 Risk Level: CRITICAL (Score: 9.8)

📝 شرح آسیب‌پذیری:

یک آسیب‌پذیری جدی با شناسه CVE-2025-9312 در محصولات متعدد شرکت WSO2 شناسایی شده است. این ضعف امنیتی مربوط به عدم اجرای صحیح احراز هویت در پیاده‌سازی Mutual TLS (mTLS) برای System REST APIs و سرویس‌های SOAP است.

در تنظیمات پیش‌فرض، سیستم به درستی گواهی کلاینت (Client Certificate) را اعتبارسنجی نمی‌کند. در نتیجه، حتی زمانی که mTLS فعال شده باشد، این رابط‌ها ممکن است درخواست‌های فاقد احراز هویت معتبر را بپذیرند. این آسیب‌پذیری تنها در صورتی قابل بهره‌برداری است که mTLS برای این سرویس‌ها فعال و از طریق شبکه در دسترس باشد.

🚨 تأثیر:

بهره‌برداری موفق از این آسیب‌پذیری به یک مهاجم با دسترسی شبکه به نقاط پایانی (endpoints) آسیب‌پذیر، اجازه می‌دهد تا به سطح دسترسی مدیریتی (Administrative Privileges) دست یابد.

پس از کسب این سطح از دسترسی، مهاجم قادر خواهد بود عملیات غیرمجاز گسترده‌ای مانند دسترسی به داده‌های حساس، تغییر پیکربندی‌های حیاتی سیستم، و یا از کار انداختن کامل سرویس‌ها را انجام دهد.

🎭 سناریوی حمله:

یک مهاجم شبکه داخلی سازمانی را که از محصولات آسیب‌پذیر WSO2 استفاده می‌کند، اسکن کرده و یک System REST API را که با تنظیمات پیش‌فرض mTLS فعال شده است، شناسایی می‌کند.

مهاجم یک درخواست مخرب (مثلاً برای ایجاد یک کاربر مدیر جدید) را بدون ارائه گواهی کلاینت معتبر به این API ارسال می‌کند.

به دلیل وجود آسیب‌پذیری، سیستم به اشتباه این درخواست را پردازش کرده و آن را معتبر تلقی می‌کند. در نتیجه، درخواست مهاجم با موفقیت اجرا شده و به او دسترسی با اختیارات کامل مدیریتی داده می‌شود.

---

توصیه می‌شود مدیران سیستم فوراً تنظیمات mTLS را در محصولات WSO2 خود بررسی کرده و از اجرای صحیح و کامل فرآیند احراز هویت اطمینان حاصل کنند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-58692

🟠 Risk Level: HIGH (Score: 8.8)

🚨 تحلیل آسیب‌پذیری حیاتی در Fortinet FortiVoice
CVE-2025-58692

---

🔍 شرح آسیب‌پذیری:

یک آسیب‌پذیری از نوع تزریق SQL یا SQL Injection با شناسه CWE-89 در محصول FortiVoice شرکت Fortinet شناسایی شده است. این ضعف امنیتی ناشی از عدم پاکسازی و اعتبارسنجی صحیح ورودی‌های کاربر در دستورات ارسالی به پایگاه داده است.

نسخه‌های زیر تحت تأثیر این آسیب‌پذیری قرار دارند:
• FortiVoice 7.2.0 تا 7.2.2
• FortiVoice 7.0.0 تا 7.0.7

💥 پیامدها:

یک مهاجم احرازهویت‌شده (Authenticated) می‌تواند با ارسال درخواست‌های دستکاری‌شده HTTP یا HTTPS، کد یا دستورات دلخواه را بر روی سیستم هدف اجرا کند. این امر می‌تواند منجر به در اختیار گرفتن کامل کنترل سیستم، سرقت اطلاعات حساس، دستکاری داده‌ها یا اختلال در سرویس‌دهی شود.

🎬 سناریوی حمله:

مهاجمی که به سیستم دسترسی کاربری (حتی با سطح دسترسی پایین) دارد، یک درخواست وب به یکی از بخش‌های آسیب‌پذیر پنل مدیریت FortiVoice ارسال می‌کند. در این درخواست، کدهای مخرب SQL را در یکی از پارامترها تزریق می‌کند. به دلیل عدم خنثی‌سازی کاراکترهای ویژه، این کدها مستقیماً در پایگاه داده اجرا شده و به مهاجم اجازه اجرای دستورات غیرمجاز در سطح سیستم‌عامل را می‌دهند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

سلام و وقت بخیر به همه‌ی همراهان عزیز 🌹
به دلیل ریپورت شدن کانال قبلی @RedTeamApt از این پس فعالیت ما در کانال جدید ادامه خواهد داشت.

🔹 آدرس کانال جدید:
@RedTeamApt1

🔹 گروه جدید:
@RedTeamGP

ممنون از همراهی و حمایت همیشگی شما 🙏✨

🚨 New Vulnerability Alert: CVE-2025-62406

🟠 Risk Level: HIGH (Score: 8.1)

گزارش تحلیل آسیب‌پذیری: CVE-2025-62406

یک ضعف امنیتی از نوع Host Header Injection در نرم‌افزار گالری عکس Piwigo شناسایی شده که به مهاجمان اجازه می‌دهد تا حساب‌های کاربری را تصاحب کنند.

شرح آسیب‌پذیری:
آسیب‌پذیری با شناسه CVE-2025-62406 در نسخه 15.6.0 نرم‌افزار Piwigo وجود دارد. این مشکل ناشی از عدم اعتبارسنجی هدر Host در درخواست‌های HTTP هنگام استفاده از قابلیت "بازنشانی رمز عبور" است. زمانی که کاربر درخواست بازنشانی رمز عبور می‌دهد، سیستم برای تولید لینک بازنشانی، به جای استفاده از یک دامنه ثابت و پیکربندی‌شده، از مقدار موجود در هدر Host استفاده می‌کند. این هدر به سادگی توسط مهاجم قابل دستکاری است.

این ضعف امنیتی در نسخه 15.7.0 برطرف شده است.

تاثیرات:
اصلی‌ترین پیامد بهره‌برداری از این آسیب‌پذیری، ربودن حساب کاربری (Account Takeover) است. مهاجم می‌تواند با ارسال یک لینک بازنشانی رمز عبور جعلی به قربانی، او را به یک وب‌سایت فیشینگ که تحت کنترل خود دارد، هدایت کند.

اگر کاربر فریب خورده و رمز عبور جدید خود را در صفحه جعلی وارد کند، مهاجم به اطلاعات حساب کاربری او دسترسی کامل پیدا کرده و می‌تواند کنترل آن را در دست بگیرد.

سناریوی حمله:
۱. مهاجم، نام کاربری یا ایمیل یک کاربر معتبر در سامانه Piwigo را شناسایی می‌کند.

۲. سپس یک درخواست بازنشانی رمز عبور برای آن کاربر به سرور ارسال می‌کند، اما در هدر HTTP این درخواست، مقدار Host را به دامنه تحت کنترل خود (مثلاً attacker-site.com) تغییر می‌دهد.

۳. سرور Piwigo یک ایمیل کاملاً معتبر برای بازنشانی رمز عبور به قربانی ارسال می‌کند، اما لینک موجود در ایمیل به جای دامنه اصلی، به دامنه مهاجم اشاره دارد (مثلاً: https://attacker-site.com/password.php?key=...).

۴. قربانی ایمیل را دریافت کرده، روی لینک کلیک می‌کند و به صفحه جعلی مهاجم که ظاهری کاملاً شبیه به سایت اصلی دارد، هدایت می‌شود.

۵. کاربر در این صفحه جعلی، رمز عبور جدید خود را وارد می‌کند. مهاجم این رمز را ذخیره کرده و از آن برای ورود به حساب واقعی کاربر در سایت اصلی استفاده می‌کند و کنترل کامل حساب را به دست می‌گیرد.

---
توصیه اکید می‌شود که تمام مدیران وب‌سایت‌هایی که از Piwigo استفاده می‌کنند، هرچه سریع‌تر سامانه خود را به نسخه 15.7.0 یا بالاتر به‌روزرسانی کنند تا از این خطر در امان بمانند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-10437

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل و بررسی آسیب‌پذیری SQL Injection
CVE-2025-10437

---

📌 توضیحات آسیب‌پذیری:

یک آسیب‌پذیری از نوع تزریق SQL (SQL Injection) در سیستم مدیریت Webpack محصول شرکت Eksagate شناسایی شده است. این ضعف امنیتی به دلیل عدم خنثی‌سازی و اعتبارسنجی صحیح ورودی‌های کاربر قبل از ارسال به پایگاه داده به وجود آمده است.

در نتیجه، یک مهاجم از راه دور و بدون نیاز به احراز هویت، قادر است تا با ارسال درخواست‌های دستکاری‌شده، دستورات SQL مخرب خود را بر روی پایگاه داده سرور اجرا کند. تمامی نسخه‌های منتشر شده تا تاریخ 2025/11/19 تحت تاثیر این مشکل قرار دارند.

---

💥 تاثیرات:

بهره‌برداری موفقیت‌آمیز از این آسیب‌پذیری می‌تواند منجر به طیف گسترده‌ای از تهدیدات شود، از جمله:

- دسترسی و سرقت اطلاعات حساس مانند نام‌های کاربری، رمزهای عبور هش‌شده و اطلاعات شخصی کاربران.
- امکان دستکاری، حذف یا افزودن داده‌های غیرمجاز به پایگاه داده.
- دور زدن کامل مکانیزم‌های احراز هویت و ورود به سیستم با دسترسی‌های مدیریتی.
- در سناریوهای پیشرفته، امکان اجرای دستورات در سطح سیستم‌عامل و به دست گرفتن کنترل کامل سرور.

---

💡 سناریو حمله:

مهاجم می‌تواند یک فیلد ورودی عمومی، مانند فرم جستجو یا صفحه ورود را هدف قرار دهد. برای مثال، با وارد کردن یک رشته‌ی دستکاری‌شده مانند ' OR '1'='1 در فیلد نام کاربری، کوئری اصلی پایگاه داده تغییر می‌کند.

از آنجایی که برنامه ورودی را به درستی پاک‌سازی نمی‌کند، این دستور تزریقی باعث می‌شود شرط احراز هویت همیشه صحیح (True) ارزیابی شود. در نتیجه، مهاجم بدون نیاز به رمز عبور معتبر، می‌تواند به عنوان اولین کاربر موجود در پایگاه داده (که معمولاً مدیر سیستم است) وارد پنل کاربری شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-65021

🔴 Risk Level: CRITICAL (Score: 9.1)

شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-65021 در ابزار متن‌باز زمان‌بندی و همکاری Rallly شناسایی شده است. این نقص امنیتی از نوع Insecure Direct Object Reference (IDOR) بوده و نسخه‌های قبل از 4.5.4 را تحت تأثیر قرار می‌دهد.

ضعف اصلی در بخش نهایی‌سازی نظرسنجی‌ها (poll finalization) نهفته است. در این بخش، بررسی‌های لازم برای کنترل دسترسی و احراز هویت به درستی انجام نمی‌شود. در نتیجه، هر کاربر احرازهویت‌شده می‌تواند با دستکاری پارامتر pollId در درخواست ارسالی به سرور، به نظرسنجی‌های متعلق به کاربران دیگر دسترسی پیدا کرده و آن‌ها را نهایی کند.

تأثیر:

بهره‌برداری موفق از این آسیب‌پذیری به یک مهاجم (که یک کاربر عادی در سیستم است) اجازه می‌دهد تا بدون مجوز، نظرسنجی‌های سایر کاربران را نهایی کرده و آن‌ها را به یک رویداد قطعی تبدیل کند. پیامدهای اصلی این حمله شامل موارد زیر است:

• اختلال در فرآیند کاری کاربران: نهایی‌سازی زودهنگام یا نادرست نظرسنجی‌ها می‌تواند برنامه‌ریزی‌های مشروع را مختل کند.

• نقض یکپارچگی داده‌ها: ایجاد رویدادهای غیرمجاز و نادرست، اعتبار داده‌های سیستم را زیر سؤال می‌برد.

• کاهش دسترس‌پذیری: پس از نهایی شدن نظرسنجی، مالک اصلی دیگر قادر به تغییر آن نخواهد بود و عملاً دسترسی خود را به قابلیت ویرایش از دست می‌دهد.

سناریوی حمله:

یک سناریوی حمله می‌تواند به شکل زیر باشد:

۱. مهاجم (کاربر A) با حساب کاربری خود وارد پلتفرم Rallly می‌شود.

۲. مهاجم شناسه (pollId) یک نظرسنجی فعال که توسط کاربر دیگری (کاربر B) ایجاد شده است را به دست می‌آورد. (این شناسه ممکن است قابل حدس زدن یا مشاهده باشد).

۳. مهاجم یک درخواست HTTP برای نهایی کردن یک نظرسنجی ایجاد می‌کند. این درخواست به طور معمول باید برای نظرسنجی خود او باشد.

۴. در درخواست دستکاری‌شده، مهاجم مقدار pollId را با شناسه‌ای که در مرحله ۲ به دست آورده (متعلق به کاربر B) جایگزین می‌کند.

۵. سرور بدون بررسی اینکه آیا کاربر A مالک نظرسنجی مورد نظر است یا خیر، درخواست را پردازش کرده و نظرسنجی کاربر B را به اشتباه نهایی می‌کند.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-65025

🟠 Risk Level: HIGH (Score: 8.2)

تحلیل آسیب‌پذیری بحرانی در esm.sh
CVE-2025-65025: Path Traversal

---

📝 شرح آسیب‌پذیری:
سرویس esm.sh که یک شبکه تحویل محتوا (CDN) برای توسعه وب مدرن است، در نسخه‌های قبل از 136 دارای یک آسیب‌پذیری از نوع Path Traversal می‌باشد. این ضعف امنیتی هنگام استخراج بسته‌های NPM (فایل‌های tarball) رخ می‌دهد. مهاجم می‌تواند با ایجاد یک بسته NPM مخرب و قرار دادن فایل‌هایی با مسیرهای دستکاری‌شده (مانند package/../../tmp/evil.js) در آن، فرآیند استخراج فایل را فریب دهد. در نتیجه، فایل‌های مخرب به جای نوشته شدن در پوشه مورد نظر، در مکان‌های دلخواه روی فایل سیستم سرور نوشته می‌شوند. این آسیب‌پذیری در نسخه 136 برطرف شده است.

💥 تأثیر:
تأثیر اصلی این آسیب‌پذیری، نوشتن فایل دلخواه روی سرور (Arbitrary File Write) است. این قابلیت به مهاجم اجازه می‌دهد تا فایل‌های مخربی مانند وب‌شل‌ها (Webshells)، اسکریپت‌های مخرب یا فایل‌های پیکربندی را در مسیرهای حساس سرور آپلود کند. موفقیت در بهره‌برداری از این ضعف امنیتی می‌تواند منجر به اجرای کد از راه دور (Remote Code Execution - RCE) شود و کنترل کامل سرور میزبان سرویس esm.sh را در اختیار مهاجم قرار دهد.

🎭 سناریو:
یک مهاجم سناریوی زیر را برای بهره‌برداری از این آسیب‌پذیری دنبال می‌کند:
1. ابتدا، یک بسته NPM مخرب ایجاد می‌کند.
2. درون این بسته، فایلی با نام evil.js قرار می‌دهد اما مسیر آن را به صورت دستکاری‌شده مانند package/../../tmp/evil.js تعریف می‌کند. کاراکترهای ../ به سیستم دستور می‌دهند تا به یک پوشه بالاتر برود.
3. مهاجم این بسته را در یک رجیستری عمومی منتشر می‌کند.
4. هنگامی که سرویس esm.sh این بسته را برای استفاده دانلود و استخراج می‌کند، به دلیل عدم اعتبارسنجی صحیح مسیر، فایل evil.js را به جای دایرکتوری استخراج، مستقیماً در مسیر /tmp/ روی سرور می‌نویسد.
5. اگر این فایل یک وب‌شل باشد و در یک دایرکتوری قابل دسترس از طریق وب قرار گیرد، یا اگر یک اسکریپت باشد که توسط یک فرآیند دیگر (مانند cron job) اجرا شود، مهاجم به اجرای کد از راه دور بر روی سرور دست می‌یابد.

---

توصیه می‌شود مدیران سرورهایی که از esm.sh استفاده می‌کنند، در اسرع وقت سرویس خود را به نسخه 136 یا بالاتر به‌روزرسانی کنند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal