آسیب‌پذیری CVE-2025-15001 با شدت 9.8  در افزونه FS Registration Password وردپرس به دلیل ضعف در فرآیند احراز هویت هنگام تغییر رمز عبور کاربران ایجاد شده است. این نقص باعث می‌شود هویت کاربر قبل از به‌روزرسانی رمز عبور به‌درستی اعتبارسنجی نشود. در نتیجه، مهاجمان بدون نیاز به احراز هویت می‌توانند رمز عبور هر حسابی، از جمله حساب‌های مدیریتی، را تغییر دهند. با تصاحب حساب مدیر، امکان دسترسی کامل به پنل مدیریت وردپرس فراهم می‌شود. این سطح دسترسی می‌تواند برای نصب بدافزار، تغییر محتوای سایت یا اجرای کد مخرب مورد استفاده قرار گیرد. سوءاستفاده از این آسیب‌پذیری تهدید جدی برای امنیت و یکپارچگی وب‌سایت محسوب می‌شود. بنابراین رفع سریع آن برای سایت‌های آسیب‌پذیر ضروری است..

محصولات تحت‌تأثیر

• همه نسخه‌ها تا و شامل 1.0.1
• سیستم‌هایی که ممکن است تحت تأثیر باشند:
• وب‌سایت‌های وردپرسی که از این افزونه برای مدیریت رمزهای کاربران استفاده می‌کنند.

توصیه‌های امنیتی

• به‌روزرسانی افزونه FS Registration Password به آخرین نسخه امن.
• غیرفعال‌سازی موقت افزونه در صورت عدم نیاز تا زمان اعمال پچ.
• بررسی و بازنشانی رمزهای حساب‌های کاربری حساس (به‌ویژه مدیران).
• فعال‌سازی احراز هویت چندمرحله‌ای (2FA) برای حساب‌های مدیریت.
• نصب و فعال‌سازی افزونه‌های امنیتی وردپرس (مثل Wordfence) برای مانیتورینگ دسترسی‌ها.
• محدود کردن دسترسی به صفحه‌های حساس ثبت‌نام/بازیابی رمز از طریق CAPTCHA یا فیلتر IP.
• بازبینی لاگ‌ها برای شناسایی تلاش‌های غیرمجاز تغییر رمز.

منبع خبر

https://nvd.nist.gov/vuln/detail/CVE-2025-15001

کتابخانه jsPDF  یک کتابخانه JavaScript برای تولید فایل‌های PDF در سمت کاربر و سمت سرور است که به‌طور گسترده در برنامه‌های مبتنی بر Node.js مورد استفاده قرار می‌گیرد. اخیرا یک آسیب‌پذیری بحرانی با شناسهCVE-2025-68428  و شدت ۹.۲ در نسخه‌های Node.js کتابخانه jsPDF گزارش شده است که به مهاجم اجازه می‌دهد از طریق دستکاری مسیر فایل‌ها، به محتوای فایل‌های دلخواه در سیستم فایل سرور دسترسی پیدا کند. این ضعف می‌تواند محرمانگی داده‌ها و امنیت کلی سامانه را به‌شدت تحت تأثیر قرار دهد.

جزئیات آسیب‌پذیری ها

این آسیب‌پذیری ناشی از عدم اعتبارسنجی و پاک‌سازی مناسب مسیر فایل‌ها در متد loadFile و برخی متدهای مرتبط در نسخه Node.js کتابخانه jsPDF است. اگر مسیر فایلی که به متد) loadFileیا متدهای مشابه در jsPDF نسخه (Node.js داده می‌شود، از ورودی کاربر تأمین شود و قبل از استفاده اعتبارسنجی و محدودسازی نشود، امکان عبور از مسیرهای مجاز و دسترسی به فایل‌های دلخواه سیستم فایل وجود دارد. بنابراین، مهاجم می‌تواند با ارسال مسیرهای دلخواه، محتوای فایل‌های حساس موجود در سرور (مانند فایل‌های پیکربندی، کلیدها یا اطلاعات سیستمی) را خوانده و این محتوا به‌صورت مستقیم در فایل PDF تولیدشده درج می‌شود. این مسئله یک ضعف جدی از نوع  پیمایش مسیر محسوب می‌شود.

بردار CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N نشان می­دهد این آسیب‌پذیری از طریق شبکه و از راه دور با سهولت بالا قابل بهره‌برداری است. مهاجم بدون داشتن شرایط خاص، دسترسی قبلی یا مجوز معتبر و بدون نیاز به تعامل کاربر نهایی، می‌تواند حمله را انجام دهد. مهاجم قادر است به فایل‌های مهم و حساس دسترسی پیدا کند، و محرمانگی در دامنه گسترده‌تری نقض می‌گردد اما یکپارچگی داده‌ها و دسترس‌پذیری سامانه به‌طور مستقیم تحت تأثیر قرار نمی‌گیرد و تغییر مستقیم در داده‌ها یا ایجاد اختلال در سرویس رخ نمی‌دهد.

نسخه‌های تحت تاثیر

این آسیب‌پذیری صرفاً تمامی نسخه‌های Node.js کتابخانه  jsPDF قبل از 4.0.0 را تحت تاثیر قرار می دهد و فایل‌های jspdf.node.js و jspdf.node.min.js در مسیر dist / آسیب‌پذیر هستند. نسخه‌های مرورگری تحت تأثیر این نقص قرار ندارند.

توصیه‌های امنیتی

• به‌روزرسانی به نسخه امن: ارتقاء فوری کتابخانه jsPDF به نسخه 4.0.0 یا بالاتر در تمامی پروژه‌های مبتنی بر Node.js.
• محدودسازی دسترسی به سیستم فایل: استفاده از قابلیت‌های امنیتی جدیدNode.js ، به‌ویژه اجرای برنامه با  --permission در محیط‌های عملیاتی.
• اعتبارسنجی ورودی‌های کاربر: پاک‌سازی و محدودسازی کامل مسیرهای فایل دریافت‌شده از کاربر پیش از ارسال به متدهای jsPDF، به‌خصوص در نسخه‌های قدیمی Node.js.
• کاهش سطح دسترسی فرآیند Node.js: اجرای سرویس Node.js با حداقل مجوزهای لازم در سطح سیستم عامل.
• بازبینی کاربرد jsPDF در کد: بررسی تمامی نقاطی که متدهای loadFile، addImage، html و addFont با ورودی پویا فراخوانی می‌شوند.

منابع

https://nvd.nist.gov/vuln/detail/CVE-2025-68428

https://github.com/parallax/jsPDF/commit/a688c8f479929b24a6543b1fa2d6364abb03066d

https://www.cve.org/CVERecord?id=CVE-2025-68428

https://www.cvedetails.com/cve/CVE-2025-68428

Coolify یک نرم‌افزار متن‌باز خودمیزبان برای مدیریت سرورها، برنامه‌ها و پایگاه‌های داده است .این پلتفرم امکان اجرای برنامه‌ها روی سرورهای شخصی یا سازمانی را با کنترل کامل داده‌ها و هزینه‌ها فراهم می‌کند. از آن‌جا که خودمیزبانی به معنای نگهداری داده‌ها و سرویس‌های حیاتی در زیرساخت سازمان است، آسیب‌پذیری در ابزارهای خودمیزبان می‌تواند به نشت داده‌های حساس، اجرای کد دلخواه یا دسترسی غیرمجاز به منابع منجر شود. 
جزئیات آسیب‌پذیری ها
– آسیب پذیری تزریق دستور در Docker Composeبا شناسه CVE-2025-64419
این نقص یک آسیب‌پذیری تزریق دستور در بخش پردازش فایل docker-compose.yaml  با شدت 9.6 است. این آسیب‌پذیری به دلیل ضعف در فیلترکردن کاراکترهای ویژه فرمان (CWE-77) رخ داده است. پارامترهای فایل Docker Compose به درستی پاک‌سازی نمی‌شوند و مهاجم با دسترسی کم امتیاز می‌تواند یک مخزن مخرب حاوی docker-compose.yaml ویژه و دستورات اضافی در پارامترهایی مانند volumes.sourceایجاد کند. هنگامی که یک کاربر قربانی اقدام به استقرار این پروژه می‌کند، Coolify دستورات مخرب را در قالب فرمان‌های  docker exec اجرا کرده و به مهاجم اجازه می‌دهد کد دلخواه را با سطح دسترسی root روی سرور Coolify اجرا کند. بنابراین محرمانگی، یکپارچگی و دسترس‌پذیری سیستم تحت تأثیر قرار می‌گیرد.
– آسیب پذیری افشای کلید خصوصی کاربر root با شناسه CVE-2025-64420
در این آسیب،-پذیری که شدت آن 9.9  ارزیابی شده است کاربران با دسترسی سطح پایین می‌توانند کلید خصوصی SSH کاربر root سیستم را در رابط مدیریت مشاهده کنند. بدین ترتیب، یک کاربر غیرمدیر با داشتن این کلید می‌تواند به‌صورت مستقیم و بدون احراز هویت مجدد SSH  بزند و دسترسی ممتاز به سرور بدست آورد.
– آسیب پذیری افزایش سطح دسترسی با استفاده از پروسه دعوت کاربر با شناسه CVE-2025-64421
این آسیب‌پذیری منجر به افزایش غیرمجاز سطح دسترسی کاربر می‌شود. در نسخه‌های Coolify  قبل از v4.0.0-beta.434، یک کاربر با دسترسی سطح پایین (عضو عادی) می‌تواند با سوءاستفاده از فرآیند دعوت کاربر جدید، نقش مدیر را به خود اختصاص دهد. مهاجم پس از ایجاد دعوت‌نامه برای کاربر ممتاز، ابتدا با خطای سیستم مواجه می‌شود، اما در کلیک دوم بر روی دکمه دعوت، فرایند دعوت با موفقیت انجام می‌شود. این نقص بعلت وجود مشکل در فرآیند تأیید هویت و مجوز (CWE-863) رخ داده است و شدت آن 8.7 ارزیابی شده است. در این حالت مهاجم، با نام کاربری دعوت‌شده به‌عنوان مدیر، می‌تواند فرآیند بازنشانی رمز عبور را اجرا کرده و سپس با رمز جدید وارد حساب مدیر شود. 
– آسیب پذیری تزریق دستور از طریق فایل Docker Compose با شناسه CVE-2025-59156
این آسیب‌پذیری بحرانی با شدت 9.4 از نوع اجرای کد از راه دور است و در جریان راه‌اندازی برنامه‌ها وجود دارد. در نسخه‌های قبل از  v4.0.0-beta.420.6، کاربر عضو می‌تواند یک فایل Docker Compose حاوی تنظیماتی برای نصب حجم‌های دامنه روی سیستم میزبان تزریق کند. به‌طور خاص، سرویس مخربی تعریف می‌شود که پوشه ریشه (/) میزبان را به کانتینر  متصل کرده و فرمان shell اجرا می‌کند. در نتیجه مهاجم می‌تواند دستورات دلخواه را با سطح دسترسی root روی سیستم میزبان اجرا کند و از جداسازی امنیتی کانتینر عبور کند. این ضعف از نوع تزریق فرمان به سیستم عامل (CWE-78) است و اجرای دلخواه کد در سطح ریشه، خواندن/نوشتن فایل‌های سیستمی و به خطر انداختن کامل میزبان میتواند از اثرات آن باشد.
-آسیب پذیری تزریق دستور در فیلد Git Repositoryبا شناسه CVE-2025-59157
در نسخه v4.0.0-beta.420.6 و نسخه های قبل از آن، در فرایند ایجاد پروژه فیلد آدرس مخزن گیت به درستی پاک‌سازی نمی‌شود و می‌توان فرمان‌های تعبیه‌شده در URL گیت را اجرا کرد. برای مثال، وارد کردن آدرسی مانند #git@:repo; cat /etc/passwd باعث می‌شود دستور cat /etc/passwd هنگام دریافت و کپی کامل مخزن اجرا شده و محتویات فایل passwd سرور نمایش داده شود. این ضعف که شدت آن 9.9 ارزیابی شده و از نوع تزریق دستور است به کاربر عضو امکان می‌دهد کد دلخواه را روی سرور اجرا کند و کنترل سیستم را به دست بگیرد . نسخه‌ی v4.0.0-beta.420.7 این نقص را برطرف کرده است.
-آسیب پذیری افشای XSS در نام پروژه با شناسه CVE-2025-59158
 در نسخه v4.0.0-beta.420.6 و پیش از آن، در فرآیند ایجاد پروژه Coolify آسیب پذیری از نوع XSS ذخیره‌شده با شدت 9.4 شناسایی شده است. کاربر عادی می‌تواند یک پروژه جدید با نامی حاوی کد JavaScript مخرب،یک تگ HTML حاوی رویدادهای onload یا onerror بسازد. این نام مخرب در پایگاه داده ذخیره شده و زمانی که مدیر سیستم برای حذف پروژه یا منابع آن اقدام کند، کد جاوااسکریپت در مرورگر مدیر اجرا می‌شود. با اجرای اسکریپت در مرورگر مدیر، مهاجم می‌تواند نشانه‌های دسترسی (مثل توکن‌های API یا کوکی‌های نشست) را سرقت و دسترسی مدیریتی برای خود ایجاد کند. این ضعف امنیتی مربوط به عدم رمزنگاری/فرار کاراکترهای خروجی (CWE-116) است و یکپارچگی و امنیت سامانه را به‌طور کامل نقض می‌کند.

نسخه‌های تحت تاثیر
CVE-2025-64419:نسخه‌های قبل  از v4.0.0-beta.436آسیب‌پذیر هستند.
CVE-2025-64421وCVE-2025-64420 : نسخه‌های v4.0.0-beta.434 و نسحه های قبل از آن آسیب‌پذیر هستند.
CVE-2025-59156: نسخه‌های v4.0.0-beta.420.6 و قبل از آن آسیب‌پذیرند. نسخه‌ی v4.0.0-beta.420.7 این مشکل را برطرف کرده است.
CVE-2025-59157و CVE-2025-59158: نسخه v4.0.0-beta.420.6 و تمام نسخه های قبل از آن آسیب‌پذیر هستند. نسخه‌ی v4.0.0-beta.420.7  این مشکل را برطرف کرده است.
 

توصیه‌های امنیتی
•    به‌روزرسانی به آخرین نسخه امن: ارتقاء فوری Coolify به جدیدترین نسخه پایدار منتشرشده و اعمال تمامی اصلاحات امنیتی مرتبط با CVEهای اعلام‌شده.
•    کنترل و محدودسازی دسترسی‌ها: پیاده‌سازی اصل حداقل امتیاز، محدودکردن نقش عضو و اعطای دسترسی مدیریتی صرفاً به کاربران مورد اعتماد.
•    بازنشانی کلیدهای دسترسی: تعویض کلیه کلیدهای SSH و اطلاعات احراز هویت پس از رفع آسیب‌پذیری‌های مرتبط با افشای اطلاعات حساس.
•    اعتبارسنجی ورودی‌ها و خروجی‌ها: پاک‌سازی و اعتبارسنجی کامل ورودی‌های کاربری به‌ویژه در فایل‌های پیکربندی و نام منابع جهت جلوگیری از تزریق دستور و XSS.
•    بازبینی تنظیمات و پیکربندی‌ها: بررسی و اصلاح مخازن، فایل‌های پیکربندی و تنظیمات Docker Compose به‌منظور شناسایی تغییرات غیرمجاز یا مخرب.
•    محدودسازی دسترسی شبکه‌ای: اعمال سیاست‌های فایروال و محدودکردن دسترسی به پنل مدیریتی Coolify صرفاً از شبکه‌های مجاز.
 

منابع

https://nvd.nist.gov/vuln/detail/CVE-2025-64419
https://github.com/coollabsio/coolify/security/advisories/GHSA-234r-xrrg-m8f3
https://nvd.nist.gov/vuln/detail/CVE-2025-64420
https://github.com/coollabsio/coolify/security/advisories/GHSA-qwxj-qch7-whpc
https://nvd.nist.gov/vuln/detail/CVE-2025-64421
https://github.com/coollabsio/coolify/security/advisories/GHSA-4p6r-m39m-9cm9
https://nvd.nist.gov/vuln/detail/CVE-2025-59156
https://github.com/coollabsio/coolify/security/advisories/GHSA-h5xw-7xvp-xrxr
https://nvd.nist.gov/vuln/detail/CVE-2025-59157
https://github.com/coollabsio/coolify/security/advisories/GHSA-5cg9-38qj-8mc3
https://nvd.nist.gov/vuln/detail/CVE-2025-59158
https://github.com/coollabsio/coolify/security/advisories/GHSA-h52r-jxv9-9vhf

SmarterMail    یک   نرم‌افزار   سرور   ایمیل   سازمانی   است   که   به‌صورت   On-Premise   یا   Hosted   برای   ارائه   وب‌میل   و   خدمات   ایمیل   به‌کار   می‌رود  و معمولاً در بسیاری از استقرارها به شکل اینترنتی در دسترس قرار دارد.

اخیراً   یک   آسیب‌پذیری   بحرانی   با   شناسه  CVE-2025-52691  و   امتیاز  CVSS:10.0 (CRITICAL)  در   این   محصول   ثبت   شده   است .  طبق   اطلاعات   منتشرشده   در   مرجع   رسمی ،  در   صورت   بهره‌برداری   موفق ،  یک   مهاجم  بدون نیاز به احراز هویت  می‌تواند   با   آپلود   فایل   دلخواه   در  هر مسیر روی سرور ایمیل،  موجب   اجرای   کد   از   راه   دور  (RCE)  و   در   نهایت   تصرف   سرور   شود .  

محصولات تحت تأثیر

• SmarterTools SmarterMail
• تمامی   نسخه‌های   SmarterMail  تا Build 9406 و پایین‌تر  تحت   تأثیر   این   آسیب‌پذیری   قرار   دارند .
• این   مشکل   در  Build 9413  رفع   شده   است  (طبق Release Notes، این بیلد در 9 اکتبر 2025 منتشر شده است).

توصیه‌های امنیتی

• به‌روزرسانی فوری:  به تمامی سازمان‌ها توصیه می‌شود   در اولویت اول ، SmarterMail  را  به Build 9413  یا نسخه‌های جدیدتر ارتقا دهند (ترجیحاً آخرین بیلد موجود).
• کاهش سطح در معرض بودن تا زمان ارتقا:  در   صورت   عدم   امکان   به‌روزرسانی   فوری ،  دسترسی   به   رابط‌های وب/مدیریتی را به   IPهای مجاز محدود کنید (Allowlist/VPN) و دسترسی اینترنتی غیرضروری را حذف یا محدود کنید (اقدام پیشگیرانه متناسب با سناریوی).
• پایش پس از وصله:  پس   از   اعمال   وصله ،  لاگ‌های   وب/اپلیکیشن  و تغییرات فایل‌های روی سرور را بررسی کنید؛ در آسیب‌پذیری‌های نوع آپلود فایل، نشانه‌های ایجاد فایل در مسیرهای غیرمعمول می‌تواند مهم باشد.

منبع خبر:

https://nvd.nist.gov/vuln/detail/CVE-2025-52691

آسیب‌پذیری‌های CVE-2025-15111 و CVE-2025-15114 با شدت 9.3 در سیستم اتوماسیون خانگی Ksenia Security Lares 4.0 نسخه 1.6 شناسایی شده‌اند و در کنار هم یک سناریوی حمله پرخطر را شکل می‌دهند. آسیب‌پذیری اول به دلیل استفاده از اعتبارنامه‌های مدیریتی پیش‌فرض، به مهاجم اجازه می‌دهد بدون مجوز وارد سیستم شود و دسترسی کامل مدیریتی به دست آورد. پس از احراز هویت، آسیب‌پذیری دوم باعث افشای PIN سیستم هشدار در پاسخ‌های XML می‌شود که یک داده بسیار حساس محسوب می‌گردد. این اطلاعات بدون هیچ لایه حفاظتی اضافی در اختیار کاربر احراز هویت‌شده قرار می‌گیرد. ترکیب این دو نقص امنیتی امکان دور زدن کامل مکانیزم‌های حفاظتی و غیرفعال‌سازی سیستم هشدار را فراهم می‌کند. در نتیجه، مهاجم می‌تواند کنترل کامل سیستم امنیتی و اتوماسیون خانگی را در اختیار بگیرد. این وضعیت تهدید جدی برای امنیت فیزیکی و اطلاعاتی کاربران ایجاد می‌کند و نیازمند اقدام فوری است.

محصولات تحت‌تأثیر

• نسخه 1.6 دقیقاً تأیید شده تحت تأثیر هر دو آسیب‌پذیری است
• ست‌آپ‌هایی که از Lares 4.0 استفاده می‌کنند
• سیستم‌های اتوماسیون خانگی
• سیستم‌های هشدار و امنیتی متصل به شبکه سازمانی یا خانگی

تا زمانی که تولیدکننده (Ksenia) راهکار رسمی ارائه ندهد، همه نسخه‌های قبل از رفع رسمی باید در معرض خطر فرض شوند.

توصیه‌های امنیتی

• به‌روزرسانی فوری سیستم Lares 4.0 به نسخه‌ای که آسیب‌پذیری‌ها در آن رفع شده منتشر شده.
• جدا‌سازی شبکه (Network Segmentation) برای جلوگیری از دسترسی مستقیم به سیستم‌های کنترل هشدار.
• استفاده از Firewall / IPS برای محدودسازی دسترسی به رابط‌های مدیریتی.
• نظارت مستمر (Continuous Monitoring) و بررسی رفتارهای مشکوک.
• فعال‌سازی آشنایی با تهدیدها (Threat Intelligence) و به‌روزرسانی روال‌های امنیتی داخلی.

منابع خبر

https://nvd.nist.gov/vuln/detail/CVE-2025-15111

https://nvd.nist.gov/vuln/detail/CVE-2025-15114

آسیب‌پذیری CVE-2025-68562 با شدت 9.9  در افزونه MapSVG وردپرس به دلیل نبود اعتبارسنجی مناسب روی نوع فایل‌های آپلودی ایجاد شده است. این نقص امنیتی به مهاجم اجازه می‌دهد فایل‌های مخرب با فرمت‌های خطرناک را بدون محدودیت روی سرور بارگذاری کند. در صورت بهره‌برداری موفق، امکان آپلود وب‌شل و اجرای دستورات دلخواه روی وب‌سرور فراهم می‌شود. این مسئله می‌تواند منجر به دسترسی کامل مهاجم به محیط میزبانی سایت شود. از آنجا که MapSVG در وب‌سایت‌های عمومی و در دسترس اینترنت استفاده می‌شود، این آسیب‌پذیری ریسک بالایی دارد. سوءاستفاده از آن می‌تواند محرمانگی، یکپارچگی و دسترس‌پذیری سیستم را به‌طور جدی تهدید کند. به همین دلیل، رفع سریع این نقص برای سایت‌های آسیب‌پذیر ضروری است.

محصولات تحت‌تأثیر

•  تمام نسخه‌ها تا و شامل 8.7.3
• این آسیب‌پذیری مخصوص این افزونه و نسخه‌های مشخص‌شده است. سایت‌هایی که از MapSVG ≥ 8.8.x استفاده کنند یا افزونه را به‌روزرسانی کرده باشند آسیب‌پذیر نیستند تا زمانی که تولیدکننده وصله را ارائه کند.

توصیه‌های امنیتی

• افزونه MapSVG را در سریع‌ترین زمان به نسخه اصلاح‌شده ارتقا دهید.
• اجرای فایل‌های اسکریپتی (PHP, CGI) را در دایرکتوری‌های آپلود غیرفعال کنید.
• فقط پسوندهای امن و از پیش تعریف‌شده را برای آپلود فایل مجاز کنید.
• از Web Application Firewall )WAF) برای شناسایی و مسدودسازی آپلود مخرب استفاده کنید.
• دسترسی نوشتن در مسیرهای حساس وردپرس را محدود و کنترل کنید.
• لاگ‌های سرور و وردپرس را به‌طور منظم برای شناسایی Web Shell بررسی کنید.

منبع خبر

https://nvd.nist.gov/vuln/detail/CVE-2025-68562

آسیب‌پذیری CVE-2025-54322 با شدت 10 یک نقص امنیتی بسیار بحرانی در سیستم‌عامل XSpeeder SXZOS است که به مهاجم اجازه می‌دهد بدون نیاز به احراز هویت، کد دلخواه خود را از راه دور اجرا کند. این مشکل از پردازش ناامن پارامتر chkid در فایل vLogin.py ناشی می‌شود که امکان تزریق کد Python رمزگذاری‌شده با Base64 را فراهم می‌کند. پارامترهای دیگری مانند title و oIP نیز در مسیر اجرای کد نقش دارند. در صورت بهره‌برداری موفق، کد تزریق‌شده با سطح دسترسی root اجرا می‌شود و مهاجم می‌تواند کنترل کامل دستگاه را به دست بگیرد. این آسیب‌پذیری می‌تواند منجر به سرقت اطلاعات، دستکاری تنظیمات سیستمی و ایجاد دسترسی پایدار شود. سادگی بهره‌برداری و سطح دسترسی بالا، این نقص را به یک تهدید بسیار جدی برای سیستم‌های مبتنی بر SXZOS تبدیل می‌کند.

محصولات تحت‌تأثیر

•  XSpeeder SXZOS
• نسخه‌های تا 2025‑12‑26 (شامل نسخه‌های قبل از تاریخ پچ)
• هر دستگاه یا سیستمِ SXZOS که دارای فایل آسیب‌پذیر vLogin.py باشد
• سیستم‌هایی که پارامتر chkid را در فرآیند احراز هویت یا ورودی HTTP قبول می‌کنند
• استقرارهایی که بدون احراز هویت (unauthenticated) در معرض اینترنت قرار دارند

توصیه‌های امنیتی

• به‌روزرسانی فوری SXZOS به نسخه‌ای که این مشکل در آن رفع شده است.
• محدودسازی دسترسی شبکه‌ای به سرویس‌های مدیریتی و پورت‌های مرتبط با vLogin.
• قرار دادن دستگاه‌ها پشت فایروال / VPN و عدم قرارگیری مستقیم در اینترنت.
• بررسی و حذف ورودی‌های مشکوک در chkid، title و oIP برای جلوگیری از تزریق Base64.
• فعال‌سازی احراز هویت چندعاملی (MFA) برای مدیریت دستگاه در صورت امکان.
• نظارت و پایش لاگ‌ها برای شناسایی تلاش‌های غیرمجاز برای اجرای کد.
• ایزوله‌سازی سرویس SXZOS در شبکه‌های جداگانه (VLAN/DMZ) برای کاهش برد حمله.

منبع خبر

https://nvd.nist.gov/vuln/detail/CVE-2025-54322

زبان برنامه‌نویسی PHP  در بسیاری از وب‌سایت‌ها، سامانه‌های اتوماسیون، پرتال‌های خدمات الکترونیکی و APIها مورد استفاده قرار می‌گیرد و برای ارتباط با پایگاه‌های داده، از لایه‌ استاندارد PDOبهره می‌برد که امکان تعامل امن و یکپارچه با انواع پایگاه‌های داده از جمله PostgreSQL را فراهم می‌کند. اخیرا آسیب‌پذیری با شناسه CVE-2025-14180  وشدت 8.2 در PDO شناسایی شده است که از نوع نقص در مدیریت حافظه است و می‌تواند منجر به توقف فرآیند PHP و از کار افتادن کلیه سرویس‌های وابسته گردد.

جزئیات آسیب‌پذیری

این آسیب‌پذیری ناشی از یک نقص در مدیریت حافظه در پیاده‌سازی درایور PostgreSQL برای PDO در PHP است. این مشکل زمانی بروز می‌کند که از prepared statementها با قابلیت شبیه‌سازی‌شده استفاده شود و پارامترهای ورودی شامل توالی‌های کاراکتری نامعتبر باشند. در چنین شرایطی، تابع مورد استفاده برای escaping داده‌ها مقدار نامعتبری بازمی‌گرداند که به‌درستی بررسی نمی‌شود و در ادامه باعث ارجاع به اشاره‌گر تهی در یکی از توابع پردازش پارامترها می‌گردد. نتیجه این وضعیت، بروز خطای segmentation fault و متوقف شدن فرآیند PHP است که می‌تواند کل سرویس وب یا برنامه های کاربردی وابسته را متوقف کند و دسترس‌پذیری سامانه را تحت تأثیر قرار دهد.

بردار حمله CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N نشان می دهد آسیب‌پذیری از طریق شبکه و از راه دور قابل بهره‌برداری است و برای بهره برداری از آن نیازی به احراز هویت یا تعامل کاربر وجود ندارد. بهره‌برداری از این نقص مستلزم شرایط خاصی است و پیچیدگی نسبتا بالایی دارد. تأثیر این آسیب‌پذیری حذف دسترس‌پذیری سرویس است و منجر به نقض محرمانگی یا یکپارچگی اطلاعات نمی‌شود. همچنین دامنه اثرگذاری آن به همان مؤلفه آسیب‌پذیر محدود بوده و بر سایر بخش‌های سامانه یا زیرساخت اثر امنیتی نخواهد داشت.

نسخه‌های تحت تاثیر

نسخه‌های زیر از PHP در صورت استفاده از PDO PostgreSQL با قابلیت emulate prepares فعال، آسیب‌پذیر هستند:

• PHP 8.1 قبل از نسخه 8.1.34
• PHP 8.2 قبل از نسخه 8.2.30
• PHP 8.3 قبل از نسخه 8.3.29
• PHP 8.4 قبل از نسخه 8.4.16
• PHP 8.5 قبل از نسخه 8.5.1

توصیه‌های امنیتی

• به‌روزرسانی PHP به نسخه‌های اصلاح‌شده منتشرشده توسط PHP Group
• در صورت عدم امکان به‌روزرسانی فوری، غیرفعال‌سازی قابلیت emulated prepares در PDO بمنظور کاهش ریسک بهره‌برداری.
• بررسی و اعتبارسنجی دقیق ورودی‌های کاربر در لایه کاربردی بمنظور جلوگیری از ارسال داده‌های نامعتبر.

منابع

https://nvd.nist.gov/vuln/detail/CVE-2025-14180

https://github.com/php/php-src/security/advisories/GHSA-8xr5-qppj-gvwj

https://www.cve.org/CVERecord?id=CVE-2025-14180

https://nvd.nist.gov/vuln/detail/CVE-2025-14180

Cybersecurity AI  یک چارچوب متن‌باز برای ساخت و استقرار اتوماسیون‌های امنیت سایبری مبتنی بر هوش مصنوعی است. این ابزار برای ایجاد Agentهای تهاجمی و دفاعی استفاده می‌شود و امکان اجرای وظایف امنیتی چون تست نفوذ خودکار، مدیریت رخداد، جمع‌آوری اطلاعات، تحلیل تهدید و اجرای دستور‌های از راه دور را فراهم می‌کند. اخیرا یک آسیب‌پذیری با شناسه CVE-2025-67511 از نوع تزریق دستور در این ابزار شناسایی شده است که می‌تواند به مهاجم اجازه دهد دستورات دلخواه را با سطح دسترسی فرایند Agent اجرا کند. شدت این نقص بر اساس استاندارد CVSS با امتیاز 9.6 رتبه‌بندی شده است و در بخشی از چارچوب که برای اجرای فرمان‌های SSH طراحی شده است قرار دارد.

جزئیات آسیب‌پذیری

این آسیب­پذیری ناشی از پاک‌سازی نامناسب ورودی در تابع run_ssh_command_with_credentials  است که توسط Agentهای CAI برای اجرای دستور SSH استفاده می‌شود. در این تابع تنها ورودی‌های مربوط به رمز عبور و دستور اجراشونده پاک‌سازی شده‌اند و سایر پارامترها شامل نام کاربری، میزبان و پورت بدون هیچ کنترلی مستقیماً در دستور سیستم وارد می‌شوند. این نقص باعث می‌شود مهاجم بتواند از طریق فراهم کردن مقادیر مخرب در این پارامترها، دستورات دلخواه را روی سیستم مقصد اجرا کند، به اطلاعات حساس دسترسی یافته، آن‌ها را تغییر داده یا حذف کند و حتی عملکرد سیستم را مختل یا کاملاً از دسترس خارج سازد.

 بردار حمله CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hنشان می‌دهد مهاجم می‌تواند از طریق شبکه و بدون دسترسی اولیه، تنها با یک تعامل محدود از سوی کاربر، حمله را آغاز کند. در صورت موفقیت، دامنه­ی اثرگذاری این آسیب پذیری از نقطه اجرا به بخش‌های گسترده‌تری فراتر خواهد رفت و می‌تواند بر محرمانگی، یکپارچگی و دسترس‌پذیری سامانه تأثیر بگذارد.

نسخه‌های تحت تاثیر

CAIنسخه ۰.۵.۹ و تمامی نسخه‌های پیش از آن تحت تاثیر این آسیب پذیری قرار دارند. نسخه‌ای برای رفع این آسیب‌پذیری تا زمان انتشار گزارش وجود ندارد و مدیران سامانه باید توصیه های امنیتی را بمنظور کاهش ریسک اعمال نمایند.

توصیه‌های امنیتی

• استفاده از SSH Keys به‌جای احراز هویت مبتنی بر رمز
• محدودسازی دسترسی CAI به شبکه و دستگاه‌های حساس
• غیرفعال‌سازی Agentهایی که از تابع run_ssh_command_with_credentials استفاده می‌کنند
• استفاده از Container یا Sandbox برای اجرای Agentها
• رصد رخدادها برای یافتن دستورات غیرعادی

منابع

https://nvd.nist.gov/vuln/detail/CVE-2025-67511

https://www.cve.org/CVERecord?id=CVE-2025-67511

https://www.cvedetails.com/cve/CVE-2025-67511

https://github.com/aliasrobotics/cai/security/advisories/GHSA-4c65-9gqf-4w8h

https://euvd.enisa.europa.eu/vulnerability/CVE-2025-67511

آسیب‌پذیری CVE-2025-13158 با شدت 9.3 یک نقص امنیتی از نوع Prototype Pollution در کتابخانه apidoc-core است که از نسخه 0.2.0 به بعد وجود دارد. این مشکل زمانی رخ می‌دهد که داده‌های ورودی مخرب، بدون اعتبارسنجی مناسب، در توابع preProcess() پردازش می‌شوند و امکان دستکاری زنجیره پروتوتایپ اشیای جاوااسکریپت را فراهم می‌کنند. مهاجم می‌تواند با ارسال ساختارهای داده دستکاری‌شده، رفتار داخلی برنامه را تغییر دهد یا منجر به بروز خطاهای غیرمنتظره شود. این نقص می‌تواند باعث اختلال در سرویس (DoS) یا تغییر منطق برنامه‌هایی شود که به صحت پروتوتایپ‌ها وابسته هستند. چندین ماژول از جمله api_group.js، api_param_title.js، api_use.js و api_permission.js تحت تأثیر این مشکل قرار دارند. بهره‌برداری از این آسیب‌پذیری می‌تواند پایداری و امنیت برنامه‌های وابسته به apidoc-core را به‌طور جدی تهدید کند

محصولات تحت‌تأثیر

•   کتابخانه Node.js: apidoc-core
•   نسخه‌های آسیب‌پذیر:
• تمام نسخه‌ها از 0.2.0 به بعد تا قبل از انتشار پچ رسمی
•   ماژول‌های در معرض خطر در apidoc-core:
• api_group.js
• api_param_title.js
• api_use.js
• api_permission.js
•   برنامه‌های وابسته به apidoc-core که از توابع preProcess() استفاده می‌کنند و در معرض خطر prototype pollution هستند

توصیه‌های امنیتی

• به‌روزرسانی فوری به آخرین نسخه‌ی apidoc-core که مشکل را رفع کرده است.
• بررسی و اعمال اعتبارسنجی/سیاست sanitization روی داده‌های ورودی به توابع پیش‌پردازش.
• استفاده از ابزارهای اسکن امنیتی (مثل npm audit, Snyk, SonarQube) برای کشف زنجیره‌های وابستگی آسیب‌پذیر.
• بررسی و به‌روزرسانی هر پکیج یا ماژول وابسته که ممکن است apidoc-core را مستقیماً یا غیرمستقیم مصرف کند.
• محدود کردن دسترسی به ورودی‌هایی که منجر به prototype manipulation می‌شوند (مثلاً حذف propertyهای غیرمجاز).
• فعال‌سازی سیستم‌های مانیتورینگ خطا و بررسی رفتار غیرمنتظره برنامه (مانند خطاهای پردازش داده).
• در موارد استفاده در محیط‌های تولید، اعمال WAF/Runtime Protection برای جلوگیری از داده‌های غیرمجاز در HTTP request.

منبع خبر

https://nvd.nist.gov/vuln/detail/CVE-2025-13158