آسیب‌پذیری CVE-2026-25641 در کتابخانه  SandboxJS با شدت 10 به دلیل نقص در اعتبارسنجی کلیدهای دسترسی به ویژگی‌ها ایجاد شده است. در این نقص، کلیدی که برای بررسی امنیتی استفاده می‌شود با کلیدی که برای دسترسی واقعی به ویژگی به‌کار می‌رود متفاوت است. این اختلاف باعث می‌شود مهاجم بتواند اشیای مخرب ارسال کند که هنگام تبدیل به رشته رفتار متفاوتی دارند. در نتیجه، محدودیت‌های محیط سندباکس دور زده می‌شود. این موضوع می‌تواند منجر به اجرای کد غیرمجاز در محیط محدودشده شود. آسیب‌پذیری نسخه‌های قبل از 0.8.29 را تحت تأثیر قرار می‌دهد. این نقص در نسخه 0.8.29 برطرف شده است. این مسئله یک تهدید جدی برای امنیت برنامه‌های مبتنی بر SandboxJS محسوب می‌شود..

محصولات تحت‌تأثیر

• تمام نسخه‌های قبل از 0.8.29

این آسیب‌پذیری روی برنامه‌هایی اثر می‌گذارد که از SandboxJS برای اجرای کد در محیط ایزوله (sandbox) استفاده می‌کنند. در چنین مواردی، مهاجم می‌تواند محدودیت‌های محیط سندباکس را دور زده و کد دلخواه خود را اجرا کند.

توصیه‌های امنیتی

• به‌روزرسانی فوری SandboxJS به نسخه 0.8.29 یا بالاتر.
• بازبینی وابستگی‌ها در پروژه برای اطمینان از حذف نسخه‌های آسیب‌پذیر.
• استفاده از مکانیزم‌های اعتبارسنجی مناسب برای ورودی‌های کاربر در جاوااسکریپت.
• اجرای تست‌های امنیتی (SAST/DAST) روی کدهایی که از محیط سندباکس استفاده می‌کنند.
• مانیتورینگ و لاگینگ برای شناسایی رفتار غیرعادی در sandbox.
• استفاده از ابزارهای اسکن وابستگی مثل npm audit یا Snyk برای شناسایی آسیب‌پذیری‌های مشابه زودتر.

منبع خبر

https://nvd.nist.gov/vuln/detail/CVE-2026-25641

آسیب‌پذیری CVE-2026-24936 با شدت 9.5  در سیستم ADM به دلیل اعتبارسنجی نادرست ورودی هنگام اتصال به دامنه Active Directory رخ می‌دهد. این نقص به مهاجم غیرمجاز اجازه می‌دهد داده دلخواه را در هر فایل دلخواه روی سیستم بنویسد. با سوءاستفاده از این ضعف، امکان بازنویسی فایل‌های حیاتی سیستم وجود دارد. این موضوع می‌تواند منجر به اجرای کد مخرب و تسلط کامل بر سیستم شود. آسیب‌پذیری بدون نیاز به احراز هویت قابل بهره‌برداری است. نسخه‌های متأثر شامل ADM 4.1.0 تا 4.3.3.ROF1 و 5.0.0 تا 5.1.1.RCI1 هستند. این نقص یک تهدید بحرانی برای امنیت سامانه محسوب می‌شود.

محصولات تحت‌تأثیر

• ASUSTOR ADM (Asustor Data Master)— سیستم‌عامل NAS شرکت ASUSTORنسخه‌های آسیب‌پذیر:
• از ADM 4.1.0 تا 4.3.3.ROF1
• از ADM 5.0.0 تا 5.1.1.RCI1
• این ضعف در موقعیت «اتصال به دامنه AD» رخ می‌دهد و بخش CGI سیستم‌عامل را در معرض نوشتن فایل دلخواه قرار می‌دهد، که می‌تواند منجر به تسخیر کامل سیستم NAS شود.

توصیه‌های امنیتی

• به‌روزرسانی ADM به نسخه‌ای بالاتر از آن‌های آسیب‌پذیر (که پچ امنیتی دریافت کرده‌اند).
• غیرفعال کردن یا محدود کردن تابع اتصال به دامنه Active Directory اگر کاربرد ندارد
• کنترل و اعتبارسنجی ورودی‌ها در CGI برای جلوگیری از نوشتن فایل دلخواه.
• محدود کردن دسترسی نوشتن به فایل‌های حیاتی سیستم‌عامل.
• تقسیم‌بندی شبکه (Network Segmentation) و جلوگیری از دسترسی اینترنت به ADM بدون VPN/Firewall.
• نظارت و بررسی لاگ‌ها برای شناسایی تلاش‌های نوشتن غیرمجاز یا رفتار غیرمعمول.

منبع خبر

https://nvd.nist.gov/vuln/detail/CVE-2026-24936

آسیب‌پذیری CVE-2026-1699  با شدت 10  مربوط به پیکربندی نادرست یک گردش‌کار GitHub Actions در مخزن وب‌سایت Eclipse Theia است. این گردش‌کار از رویداد pull_request_target استفاده می‌کرد و هم‌زمان کد درخواست ادغام غیرقابل‌اعتماد را اجرا می‌نمود. در نتیجه، هر کاربر GitHub می‌توانست کد دلخواه را در محیط CI اجرا کند. این اجرا به اسرار مخزن و توکن GitHub با سطح دسترسی بالا دسترسی داشت. مهاجم می‌توانست اسرار را استخراج کرده، بسته‌های مخرب منتشر کند یا محتوای وب‌سایت رسمی را تغییر دهد. این نقص می‌توانست منجربه به‌خطر افتادن کامل زنجیره تأمین نرم‌افزار شود.

محصولات تحت‌تأثیر

• مخزن Eclipse Theia Website در GitHub
• گردش‌کارهای GitHub Actions مرتبط با این مخزن که از رویداد pull_request_target استفاده می‌کنند
• هر سامانه CI/CD یا Pipeline که به این مخزن متصل باشد و Workflow آسیب‌پذیر را اجرا کند

توصیه‌های امنیتی

• پیکربندی GitHub Actions را اصلاح کرده و از pull_request به‌جای pull_request_target استفاده کنید.
• محدود کردن دسترسی Secrets و کاهش سطح دسترسی GITHUB_TOKEN به کم‌ترین مورد لازم.
• چرخش Rotate) Secrets) و توکن‌ها در صورت اجرای workflow آسیب‌پذیر قبلی.
• فعال‌سازی Branch Protection و الزام به بازبینی قبل از ادغام PRها.
• افزودن Filtered Workflow Execution برای کدهای ناشناس یا اطمینان از عدم اجرای کد غیرمجاز.
• استفاده از تست امنیت گردش‌کار CI/CD قبل از اجرای آن در محیط‌های Production.
• نظارت و مانیتورینگ لاگ‌ها برای شناسایی اجرای غیرمجاز workflowها.

منبع خبر

https://nvd.nist.gov/vuln/detail/CVE-2026-1699

آسیب‌پذیری CVE-2026-24897 با شدت 10  در پلتفرم اشتراک‌گذاری فایل Erugo ناشی از اعتبارسنجی ناکافی مسیرهای ورودی هنگام ایجاد اشتراک فایل است. این نقص به کاربران احراز هویت‌شده با سطح دسترسی پایین اجازه می‌دهد فایل‌های دلخواه را در هر مسیر دلخواه روی سرور بارگذاری کنند. اگر مهاجم مسیری قابل نوشتن در ریشه وب عمومی مشخص کند، می‌تواند فایل مخرب را آپلود و اجرا نماید. این موضوع منجر به اجرای کد از راه دور روی سرور می‌شود. بهره‌برداری موفق به مهاجم امکان می‌دهد کنترل کامل نمونه Erugo را در اختیار بگیرد. این آسیب‌پذیری تمام نسخه‌های تا 0.2.14 را تحت تأثیر قرار می‌دهد. نسخه 0.2.15 این مشکل را برطرف کرده است.

محصولات تحت‌تأثیر

• Erugo (پلتفرم اشتراک‌گذاری فایل Self-hosted)
• نسخه‌های تا و شامل 0.2.14
• هر استقرار یا نمونه‌ای از Erugo که در محیط عمومی یا سرور قابل دسترسی اجرا می‌شود

توصیه‌های امنیتی

• به‌روزرسانی فوری Erugo به نسخه 0.2.15 یا بالاتر که این نقص را رفع کرده.
• محدود کردن مسیرهای قابل نوشتن برای کاربران کم‌امتیاز؛ پاک‌سازی/اعتبارسنجی کامل مسیر ورودی.
• غیرفعال‌سازی آپلود مستقیم در پوشه‌های عمومی وب (Public Web Root).
• استفاده از Web Application Firewall (WAF) برای جلوگیری از آپلود فایل‌های مخرب.
• عدم اجرای فایل‌های آپلودشده به‌عنوان کد (غیرفعال کردن اجرای PHP/اسکریپت در دایرکتوری‌های Upload).
• بررسی لاگ‌های لاگین و آپلود برای شناسایی تلاش‌های غیرمجاز.
• محدود کردن دسترسی به بخش‌های مدیریت به آدرس‌های IP قابل اعتماد.

منبع خبر

https://nvd.nist.gov/vuln/detail/CVE-2026-24897

آسیب‌پذیری CVE-2025-15001 با شدت 9.8  در افزونه FS Registration Password وردپرس به دلیل ضعف در فرآیند احراز هویت هنگام تغییر رمز عبور کاربران ایجاد شده است. این نقص باعث می‌شود هویت کاربر قبل از به‌روزرسانی رمز عبور به‌درستی اعتبارسنجی نشود. در نتیجه، مهاجمان بدون نیاز به احراز هویت می‌توانند رمز عبور هر حسابی، از جمله حساب‌های مدیریتی، را تغییر دهند. با تصاحب حساب مدیر، امکان دسترسی کامل به پنل مدیریت وردپرس فراهم می‌شود. این سطح دسترسی می‌تواند برای نصب بدافزار، تغییر محتوای سایت یا اجرای کد مخرب مورد استفاده قرار گیرد. سوءاستفاده از این آسیب‌پذیری تهدید جدی برای امنیت و یکپارچگی وب‌سایت محسوب می‌شود. بنابراین رفع سریع آن برای سایت‌های آسیب‌پذیر ضروری است..

محصولات تحت‌تأثیر

• همه نسخه‌ها تا و شامل 1.0.1
• سیستم‌هایی که ممکن است تحت تأثیر باشند:
• وب‌سایت‌های وردپرسی که از این افزونه برای مدیریت رمزهای کاربران استفاده می‌کنند.

توصیه‌های امنیتی

• به‌روزرسانی افزونه FS Registration Password به آخرین نسخه امن.
• غیرفعال‌سازی موقت افزونه در صورت عدم نیاز تا زمان اعمال پچ.
• بررسی و بازنشانی رمزهای حساب‌های کاربری حساس (به‌ویژه مدیران).
• فعال‌سازی احراز هویت چندمرحله‌ای (2FA) برای حساب‌های مدیریت.
• نصب و فعال‌سازی افزونه‌های امنیتی وردپرس (مثل Wordfence) برای مانیتورینگ دسترسی‌ها.
• محدود کردن دسترسی به صفحه‌های حساس ثبت‌نام/بازیابی رمز از طریق CAPTCHA یا فیلتر IP.
• بازبینی لاگ‌ها برای شناسایی تلاش‌های غیرمجاز تغییر رمز.

منبع خبر

https://nvd.nist.gov/vuln/detail/CVE-2025-15001

کتابخانه jsPDF  یک کتابخانه JavaScript برای تولید فایل‌های PDF در سمت کاربر و سمت سرور است که به‌طور گسترده در برنامه‌های مبتنی بر Node.js مورد استفاده قرار می‌گیرد. اخیرا یک آسیب‌پذیری بحرانی با شناسهCVE-2025-68428  و شدت ۹.۲ در نسخه‌های Node.js کتابخانه jsPDF گزارش شده است که به مهاجم اجازه می‌دهد از طریق دستکاری مسیر فایل‌ها، به محتوای فایل‌های دلخواه در سیستم فایل سرور دسترسی پیدا کند. این ضعف می‌تواند محرمانگی داده‌ها و امنیت کلی سامانه را به‌شدت تحت تأثیر قرار دهد.

جزئیات آسیب‌پذیری ها

این آسیب‌پذیری ناشی از عدم اعتبارسنجی و پاک‌سازی مناسب مسیر فایل‌ها در متد loadFile و برخی متدهای مرتبط در نسخه Node.js کتابخانه jsPDF است. اگر مسیر فایلی که به متد) loadFileیا متدهای مشابه در jsPDF نسخه (Node.js داده می‌شود، از ورودی کاربر تأمین شود و قبل از استفاده اعتبارسنجی و محدودسازی نشود، امکان عبور از مسیرهای مجاز و دسترسی به فایل‌های دلخواه سیستم فایل وجود دارد. بنابراین، مهاجم می‌تواند با ارسال مسیرهای دلخواه، محتوای فایل‌های حساس موجود در سرور (مانند فایل‌های پیکربندی، کلیدها یا اطلاعات سیستمی) را خوانده و این محتوا به‌صورت مستقیم در فایل PDF تولیدشده درج می‌شود. این مسئله یک ضعف جدی از نوع  پیمایش مسیر محسوب می‌شود.

بردار CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N نشان می­دهد این آسیب‌پذیری از طریق شبکه و از راه دور با سهولت بالا قابل بهره‌برداری است. مهاجم بدون داشتن شرایط خاص، دسترسی قبلی یا مجوز معتبر و بدون نیاز به تعامل کاربر نهایی، می‌تواند حمله را انجام دهد. مهاجم قادر است به فایل‌های مهم و حساس دسترسی پیدا کند، و محرمانگی در دامنه گسترده‌تری نقض می‌گردد اما یکپارچگی داده‌ها و دسترس‌پذیری سامانه به‌طور مستقیم تحت تأثیر قرار نمی‌گیرد و تغییر مستقیم در داده‌ها یا ایجاد اختلال در سرویس رخ نمی‌دهد.

نسخه‌های تحت تاثیر

این آسیب‌پذیری صرفاً تمامی نسخه‌های Node.js کتابخانه  jsPDF قبل از 4.0.0 را تحت تاثیر قرار می دهد و فایل‌های jspdf.node.js و jspdf.node.min.js در مسیر dist / آسیب‌پذیر هستند. نسخه‌های مرورگری تحت تأثیر این نقص قرار ندارند.

توصیه‌های امنیتی

• به‌روزرسانی به نسخه امن: ارتقاء فوری کتابخانه jsPDF به نسخه 4.0.0 یا بالاتر در تمامی پروژه‌های مبتنی بر Node.js.
• محدودسازی دسترسی به سیستم فایل: استفاده از قابلیت‌های امنیتی جدیدNode.js ، به‌ویژه اجرای برنامه با  --permission در محیط‌های عملیاتی.
• اعتبارسنجی ورودی‌های کاربر: پاک‌سازی و محدودسازی کامل مسیرهای فایل دریافت‌شده از کاربر پیش از ارسال به متدهای jsPDF، به‌خصوص در نسخه‌های قدیمی Node.js.
• کاهش سطح دسترسی فرآیند Node.js: اجرای سرویس Node.js با حداقل مجوزهای لازم در سطح سیستم عامل.
• بازبینی کاربرد jsPDF در کد: بررسی تمامی نقاطی که متدهای loadFile، addImage، html و addFont با ورودی پویا فراخوانی می‌شوند.

منابع

https://nvd.nist.gov/vuln/detail/CVE-2025-68428

https://github.com/parallax/jsPDF/commit/a688c8f479929b24a6543b1fa2d6364abb03066d

https://www.cve.org/CVERecord?id=CVE-2025-68428

https://www.cvedetails.com/cve/CVE-2025-68428

Coolify یک نرم‌افزار متن‌باز خودمیزبان برای مدیریت سرورها، برنامه‌ها و پایگاه‌های داده است .این پلتفرم امکان اجرای برنامه‌ها روی سرورهای شخصی یا سازمانی را با کنترل کامل داده‌ها و هزینه‌ها فراهم می‌کند. از آن‌جا که خودمیزبانی به معنای نگهداری داده‌ها و سرویس‌های حیاتی در زیرساخت سازمان است، آسیب‌پذیری در ابزارهای خودمیزبان می‌تواند به نشت داده‌های حساس، اجرای کد دلخواه یا دسترسی غیرمجاز به منابع منجر شود. 
جزئیات آسیب‌پذیری ها
– آسیب پذیری تزریق دستور در Docker Composeبا شناسه CVE-2025-64419
این نقص یک آسیب‌پذیری تزریق دستور در بخش پردازش فایل docker-compose.yaml  با شدت 9.6 است. این آسیب‌پذیری به دلیل ضعف در فیلترکردن کاراکترهای ویژه فرمان (CWE-77) رخ داده است. پارامترهای فایل Docker Compose به درستی پاک‌سازی نمی‌شوند و مهاجم با دسترسی کم امتیاز می‌تواند یک مخزن مخرب حاوی docker-compose.yaml ویژه و دستورات اضافی در پارامترهایی مانند volumes.sourceایجاد کند. هنگامی که یک کاربر قربانی اقدام به استقرار این پروژه می‌کند، Coolify دستورات مخرب را در قالب فرمان‌های  docker exec اجرا کرده و به مهاجم اجازه می‌دهد کد دلخواه را با سطح دسترسی root روی سرور Coolify اجرا کند. بنابراین محرمانگی، یکپارچگی و دسترس‌پذیری سیستم تحت تأثیر قرار می‌گیرد.
– آسیب پذیری افشای کلید خصوصی کاربر root با شناسه CVE-2025-64420
در این آسیب،-پذیری که شدت آن 9.9  ارزیابی شده است کاربران با دسترسی سطح پایین می‌توانند کلید خصوصی SSH کاربر root سیستم را در رابط مدیریت مشاهده کنند. بدین ترتیب، یک کاربر غیرمدیر با داشتن این کلید می‌تواند به‌صورت مستقیم و بدون احراز هویت مجدد SSH  بزند و دسترسی ممتاز به سرور بدست آورد.
– آسیب پذیری افزایش سطح دسترسی با استفاده از پروسه دعوت کاربر با شناسه CVE-2025-64421
این آسیب‌پذیری منجر به افزایش غیرمجاز سطح دسترسی کاربر می‌شود. در نسخه‌های Coolify  قبل از v4.0.0-beta.434، یک کاربر با دسترسی سطح پایین (عضو عادی) می‌تواند با سوءاستفاده از فرآیند دعوت کاربر جدید، نقش مدیر را به خود اختصاص دهد. مهاجم پس از ایجاد دعوت‌نامه برای کاربر ممتاز، ابتدا با خطای سیستم مواجه می‌شود، اما در کلیک دوم بر روی دکمه دعوت، فرایند دعوت با موفقیت انجام می‌شود. این نقص بعلت وجود مشکل در فرآیند تأیید هویت و مجوز (CWE-863) رخ داده است و شدت آن 8.7 ارزیابی شده است. در این حالت مهاجم، با نام کاربری دعوت‌شده به‌عنوان مدیر، می‌تواند فرآیند بازنشانی رمز عبور را اجرا کرده و سپس با رمز جدید وارد حساب مدیر شود. 
– آسیب پذیری تزریق دستور از طریق فایل Docker Compose با شناسه CVE-2025-59156
این آسیب‌پذیری بحرانی با شدت 9.4 از نوع اجرای کد از راه دور است و در جریان راه‌اندازی برنامه‌ها وجود دارد. در نسخه‌های قبل از  v4.0.0-beta.420.6، کاربر عضو می‌تواند یک فایل Docker Compose حاوی تنظیماتی برای نصب حجم‌های دامنه روی سیستم میزبان تزریق کند. به‌طور خاص، سرویس مخربی تعریف می‌شود که پوشه ریشه (/) میزبان را به کانتینر  متصل کرده و فرمان shell اجرا می‌کند. در نتیجه مهاجم می‌تواند دستورات دلخواه را با سطح دسترسی root روی سیستم میزبان اجرا کند و از جداسازی امنیتی کانتینر عبور کند. این ضعف از نوع تزریق فرمان به سیستم عامل (CWE-78) است و اجرای دلخواه کد در سطح ریشه، خواندن/نوشتن فایل‌های سیستمی و به خطر انداختن کامل میزبان میتواند از اثرات آن باشد.
-آسیب پذیری تزریق دستور در فیلد Git Repositoryبا شناسه CVE-2025-59157
در نسخه v4.0.0-beta.420.6 و نسخه های قبل از آن، در فرایند ایجاد پروژه فیلد آدرس مخزن گیت به درستی پاک‌سازی نمی‌شود و می‌توان فرمان‌های تعبیه‌شده در URL گیت را اجرا کرد. برای مثال، وارد کردن آدرسی مانند #git@:repo; cat /etc/passwd باعث می‌شود دستور cat /etc/passwd هنگام دریافت و کپی کامل مخزن اجرا شده و محتویات فایل passwd سرور نمایش داده شود. این ضعف که شدت آن 9.9 ارزیابی شده و از نوع تزریق دستور است به کاربر عضو امکان می‌دهد کد دلخواه را روی سرور اجرا کند و کنترل سیستم را به دست بگیرد . نسخه‌ی v4.0.0-beta.420.7 این نقص را برطرف کرده است.
-آسیب پذیری افشای XSS در نام پروژه با شناسه CVE-2025-59158
 در نسخه v4.0.0-beta.420.6 و پیش از آن، در فرآیند ایجاد پروژه Coolify آسیب پذیری از نوع XSS ذخیره‌شده با شدت 9.4 شناسایی شده است. کاربر عادی می‌تواند یک پروژه جدید با نامی حاوی کد JavaScript مخرب،یک تگ HTML حاوی رویدادهای onload یا onerror بسازد. این نام مخرب در پایگاه داده ذخیره شده و زمانی که مدیر سیستم برای حذف پروژه یا منابع آن اقدام کند، کد جاوااسکریپت در مرورگر مدیر اجرا می‌شود. با اجرای اسکریپت در مرورگر مدیر، مهاجم می‌تواند نشانه‌های دسترسی (مثل توکن‌های API یا کوکی‌های نشست) را سرقت و دسترسی مدیریتی برای خود ایجاد کند. این ضعف امنیتی مربوط به عدم رمزنگاری/فرار کاراکترهای خروجی (CWE-116) است و یکپارچگی و امنیت سامانه را به‌طور کامل نقض می‌کند.

نسخه‌های تحت تاثیر
CVE-2025-64419:نسخه‌های قبل  از v4.0.0-beta.436آسیب‌پذیر هستند.
CVE-2025-64421وCVE-2025-64420 : نسخه‌های v4.0.0-beta.434 و نسحه های قبل از آن آسیب‌پذیر هستند.
CVE-2025-59156: نسخه‌های v4.0.0-beta.420.6 و قبل از آن آسیب‌پذیرند. نسخه‌ی v4.0.0-beta.420.7 این مشکل را برطرف کرده است.
CVE-2025-59157و CVE-2025-59158: نسخه v4.0.0-beta.420.6 و تمام نسخه های قبل از آن آسیب‌پذیر هستند. نسخه‌ی v4.0.0-beta.420.7  این مشکل را برطرف کرده است.
 

توصیه‌های امنیتی
•    به‌روزرسانی به آخرین نسخه امن: ارتقاء فوری Coolify به جدیدترین نسخه پایدار منتشرشده و اعمال تمامی اصلاحات امنیتی مرتبط با CVEهای اعلام‌شده.
•    کنترل و محدودسازی دسترسی‌ها: پیاده‌سازی اصل حداقل امتیاز، محدودکردن نقش عضو و اعطای دسترسی مدیریتی صرفاً به کاربران مورد اعتماد.
•    بازنشانی کلیدهای دسترسی: تعویض کلیه کلیدهای SSH و اطلاعات احراز هویت پس از رفع آسیب‌پذیری‌های مرتبط با افشای اطلاعات حساس.
•    اعتبارسنجی ورودی‌ها و خروجی‌ها: پاک‌سازی و اعتبارسنجی کامل ورودی‌های کاربری به‌ویژه در فایل‌های پیکربندی و نام منابع جهت جلوگیری از تزریق دستور و XSS.
•    بازبینی تنظیمات و پیکربندی‌ها: بررسی و اصلاح مخازن، فایل‌های پیکربندی و تنظیمات Docker Compose به‌منظور شناسایی تغییرات غیرمجاز یا مخرب.
•    محدودسازی دسترسی شبکه‌ای: اعمال سیاست‌های فایروال و محدودکردن دسترسی به پنل مدیریتی Coolify صرفاً از شبکه‌های مجاز.
 

منابع

https://nvd.nist.gov/vuln/detail/CVE-2025-64419
https://github.com/coollabsio/coolify/security/advisories/GHSA-234r-xrrg-m8f3
https://nvd.nist.gov/vuln/detail/CVE-2025-64420
https://github.com/coollabsio/coolify/security/advisories/GHSA-qwxj-qch7-whpc
https://nvd.nist.gov/vuln/detail/CVE-2025-64421
https://github.com/coollabsio/coolify/security/advisories/GHSA-4p6r-m39m-9cm9
https://nvd.nist.gov/vuln/detail/CVE-2025-59156
https://github.com/coollabsio/coolify/security/advisories/GHSA-h5xw-7xvp-xrxr
https://nvd.nist.gov/vuln/detail/CVE-2025-59157
https://github.com/coollabsio/coolify/security/advisories/GHSA-5cg9-38qj-8mc3
https://nvd.nist.gov/vuln/detail/CVE-2025-59158
https://github.com/coollabsio/coolify/security/advisories/GHSA-h52r-jxv9-9vhf

SmarterMail    یک   نرم‌افزار   سرور   ایمیل   سازمانی   است   که   به‌صورت   On-Premise   یا   Hosted   برای   ارائه   وب‌میل   و   خدمات   ایمیل   به‌کار   می‌رود  و معمولاً در بسیاری از استقرارها به شکل اینترنتی در دسترس قرار دارد.

اخیراً   یک   آسیب‌پذیری   بحرانی   با   شناسه  CVE-2025-52691  و   امتیاز  CVSS:10.0 (CRITICAL)  در   این   محصول   ثبت   شده   است .  طبق   اطلاعات   منتشرشده   در   مرجع   رسمی ،  در   صورت   بهره‌برداری   موفق ،  یک   مهاجم  بدون نیاز به احراز هویت  می‌تواند   با   آپلود   فایل   دلخواه   در  هر مسیر روی سرور ایمیل،  موجب   اجرای   کد   از   راه   دور  (RCE)  و   در   نهایت   تصرف   سرور   شود .  

محصولات تحت تأثیر

• SmarterTools SmarterMail
• تمامی   نسخه‌های   SmarterMail  تا Build 9406 و پایین‌تر  تحت   تأثیر   این   آسیب‌پذیری   قرار   دارند .
• این   مشکل   در  Build 9413  رفع   شده   است  (طبق Release Notes، این بیلد در 9 اکتبر 2025 منتشر شده است).

توصیه‌های امنیتی

• به‌روزرسانی فوری:  به تمامی سازمان‌ها توصیه می‌شود   در اولویت اول ، SmarterMail  را  به Build 9413  یا نسخه‌های جدیدتر ارتقا دهند (ترجیحاً آخرین بیلد موجود).
• کاهش سطح در معرض بودن تا زمان ارتقا:  در   صورت   عدم   امکان   به‌روزرسانی   فوری ،  دسترسی   به   رابط‌های وب/مدیریتی را به   IPهای مجاز محدود کنید (Allowlist/VPN) و دسترسی اینترنتی غیرضروری را حذف یا محدود کنید (اقدام پیشگیرانه متناسب با سناریوی).
• پایش پس از وصله:  پس   از   اعمال   وصله ،  لاگ‌های   وب/اپلیکیشن  و تغییرات فایل‌های روی سرور را بررسی کنید؛ در آسیب‌پذیری‌های نوع آپلود فایل، نشانه‌های ایجاد فایل در مسیرهای غیرمعمول می‌تواند مهم باشد.

منبع خبر:

https://nvd.nist.gov/vuln/detail/CVE-2025-52691

آسیب‌پذیری‌های CVE-2025-15111 و CVE-2025-15114 با شدت 9.3 در سیستم اتوماسیون خانگی Ksenia Security Lares 4.0 نسخه 1.6 شناسایی شده‌اند و در کنار هم یک سناریوی حمله پرخطر را شکل می‌دهند. آسیب‌پذیری اول به دلیل استفاده از اعتبارنامه‌های مدیریتی پیش‌فرض، به مهاجم اجازه می‌دهد بدون مجوز وارد سیستم شود و دسترسی کامل مدیریتی به دست آورد. پس از احراز هویت، آسیب‌پذیری دوم باعث افشای PIN سیستم هشدار در پاسخ‌های XML می‌شود که یک داده بسیار حساس محسوب می‌گردد. این اطلاعات بدون هیچ لایه حفاظتی اضافی در اختیار کاربر احراز هویت‌شده قرار می‌گیرد. ترکیب این دو نقص امنیتی امکان دور زدن کامل مکانیزم‌های حفاظتی و غیرفعال‌سازی سیستم هشدار را فراهم می‌کند. در نتیجه، مهاجم می‌تواند کنترل کامل سیستم امنیتی و اتوماسیون خانگی را در اختیار بگیرد. این وضعیت تهدید جدی برای امنیت فیزیکی و اطلاعاتی کاربران ایجاد می‌کند و نیازمند اقدام فوری است.

محصولات تحت‌تأثیر

• نسخه 1.6 دقیقاً تأیید شده تحت تأثیر هر دو آسیب‌پذیری است
• ست‌آپ‌هایی که از Lares 4.0 استفاده می‌کنند
• سیستم‌های اتوماسیون خانگی
• سیستم‌های هشدار و امنیتی متصل به شبکه سازمانی یا خانگی

تا زمانی که تولیدکننده (Ksenia) راهکار رسمی ارائه ندهد، همه نسخه‌های قبل از رفع رسمی باید در معرض خطر فرض شوند.

توصیه‌های امنیتی

• به‌روزرسانی فوری سیستم Lares 4.0 به نسخه‌ای که آسیب‌پذیری‌ها در آن رفع شده منتشر شده.
• جدا‌سازی شبکه (Network Segmentation) برای جلوگیری از دسترسی مستقیم به سیستم‌های کنترل هشدار.
• استفاده از Firewall / IPS برای محدودسازی دسترسی به رابط‌های مدیریتی.
• نظارت مستمر (Continuous Monitoring) و بررسی رفتارهای مشکوک.
• فعال‌سازی آشنایی با تهدیدها (Threat Intelligence) و به‌روزرسانی روال‌های امنیتی داخلی.

منابع خبر

https://nvd.nist.gov/vuln/detail/CVE-2025-15111

https://nvd.nist.gov/vuln/detail/CVE-2025-15114

آسیب‌پذیری CVE-2025-68562 با شدت 9.9  در افزونه MapSVG وردپرس به دلیل نبود اعتبارسنجی مناسب روی نوع فایل‌های آپلودی ایجاد شده است. این نقص امنیتی به مهاجم اجازه می‌دهد فایل‌های مخرب با فرمت‌های خطرناک را بدون محدودیت روی سرور بارگذاری کند. در صورت بهره‌برداری موفق، امکان آپلود وب‌شل و اجرای دستورات دلخواه روی وب‌سرور فراهم می‌شود. این مسئله می‌تواند منجر به دسترسی کامل مهاجم به محیط میزبانی سایت شود. از آنجا که MapSVG در وب‌سایت‌های عمومی و در دسترس اینترنت استفاده می‌شود، این آسیب‌پذیری ریسک بالایی دارد. سوءاستفاده از آن می‌تواند محرمانگی، یکپارچگی و دسترس‌پذیری سیستم را به‌طور جدی تهدید کند. به همین دلیل، رفع سریع این نقص برای سایت‌های آسیب‌پذیر ضروری است.

محصولات تحت‌تأثیر

•  تمام نسخه‌ها تا و شامل 8.7.3
• این آسیب‌پذیری مخصوص این افزونه و نسخه‌های مشخص‌شده است. سایت‌هایی که از MapSVG ≥ 8.8.x استفاده کنند یا افزونه را به‌روزرسانی کرده باشند آسیب‌پذیر نیستند تا زمانی که تولیدکننده وصله را ارائه کند.

توصیه‌های امنیتی

• افزونه MapSVG را در سریع‌ترین زمان به نسخه اصلاح‌شده ارتقا دهید.
• اجرای فایل‌های اسکریپتی (PHP, CGI) را در دایرکتوری‌های آپلود غیرفعال کنید.
• فقط پسوندهای امن و از پیش تعریف‌شده را برای آپلود فایل مجاز کنید.
• از Web Application Firewall )WAF) برای شناسایی و مسدودسازی آپلود مخرب استفاده کنید.
• دسترسی نوشتن در مسیرهای حساس وردپرس را محدود و کنترل کنید.
• لاگ‌های سرور و وردپرس را به‌طور منظم برای شناسایی Web Shell بررسی کنید.

منبع خبر

https://nvd.nist.gov/vuln/detail/CVE-2025-68562