آخرین اخبار امنیت سایبری

28 مهر 140413:48:38

⚠️ آسیب‌پذیری بحرانی با شناسه CVE-2025-8941: افزایش سطح دسترسی در ‌ Linux PAM

◽️ گزارش جدیدی نشان می‌دهد که مهاجم می‌تواند با سوءاستفاده از Symlink و پیاده‌سازی حمله Race Condition در ماژول pam_namespace در سیستم‌‌عامل‌های گنو/لینوکسی، اقدام به افزایش سطح دسترسی به صورت محلی به کاربر root نماید. ⛔️ شدت این آسیب‌پذیری دارای امتیاز CVSS برابر با حدود 7.8 ا…

ادامه خبر ←

اشتراک‌گذاری

27 مهر 140416:01:21

⚠️ مایکروسافت نقص امنیتی با «بالاترین شدت» را در ASP.NET Core رفع کرد

◀️ شرکت Microsoft به‌تازگی برای باگ ثبت‌شده با شناسه CVE‑2025‑55315 پچ منتشر کرده که طبق اعلام، شدیدترین ایراد امنیتی تاکنون در ASP.NET Core به شمار می‌رود. ⛔️ این باگ در سرور وب «Kestrel» وجود داشت و به مهاجمین احراز هویت‌شده این امکان را می‌دهد که درخواست HTTP را جعل (smuggl…

ادامه خبر ←

اشتراک‌گذاری

26 مهر 140412:42:16

⚠️ کشف آسیب‌پذیری «zero-click» در decoder صوتی Dolby Unified Decoder اندروید

📌 تیم Google Project Zero گزارشی از یک ضعف امنیتی جدی به شناسه CVE-2025-54957 در ماژول تحلیل فایل‌های صوتی «EVO» ارائه کرده است که امکان نوشتن خارج از حدود تعیین‌شده (out-of-bounds write) را فراهم می‌سازد. 🔍 در این رخنه، مهاجم می‌تواند یک فایل صوتی مخرب ارسال کرده و بدون نیاز ب…

ادامه خبر ←

اشتراک‌گذاری

23 مهر 140416:59:58

⛔️ آسیب‌پذیری اجراي کد در Microsoft IIS به شناسه CVE-2025-59282

⚠️ یک باگ حافظه (race condition + use-after-free) در COM objectsِ IIS کشف شده که می‌تواند منجر به اجرای کد دلخواه شود؛ مایکروسافت این مورد را «Important» گزارش کرده و نمره CVSS 7.0 داده است. ℹ️ سوء استفاده نیازمند تعامل کاربر و دسترسی محلی عنوان شده (AV:L, UI:R) اما مهاجم با فر…

ادامه خبر ←

اشتراک‌گذاری

23 مهر 140413:17:11

⚠️ آسیب‌پذیری Stored XSS در وردپرس نسخه‌های زیر ۶.۸.۳

❗ وردپرس در نسخه‌های پیش از ۶.۸.۳ در موقع نوشتن داده‌ها در DOM صفحه، برخی مقادیر را به درستی escape نمی‌کند. این مشکل مخصوص نقش نویسندگان و یا بالاتر است و می‌تواند منجر به حمله Stored XSS شود. 🛠 این ضعف امنیتی با شناسه CVE-2025-58674 ثبت شده و شدت آن به سطح متوسط (CVSS 5.9) ا…

ادامه خبر ←

اشتراک‌گذاری

22 مهر 140416:08:01

⚠️ بات‌نت RondoDox و بهره‌برداری از بیش از ۵۰ آسیب‌پذیری در محصول‌ها

◻️ محققان شرکت ترند میکرو و تیم ZDI از فعالیت گسترده بات‌نت RondoDox خبر می‌دهند که با رویکرد exploit-shotgun، هم‌زمان ده‌ها آسیب‌پذیری در دستگاه‌های متصل به اینترنت را هدف قرار می‌دهد. ✴️ این کمپین، بیش از ۵۶ ضعف امنیتی شامل حملات تزریق دستور را در محصولات بیش از ۳۰ تولیدکننده…

ادامه خبر ←

اشتراک‌گذاری

21 مهر 140410:22:44

⚠️ آسیب‌پذیری «انعکاس ناایمن» در Progress Telerik UI با شناسه CVE-2025-3600 برای ASP.NET AJAX

🔍 این ضعف روی نسخه‌های بین ۲۰۱۱.۲.۷۱۲ تا ۲۰۲۵.۱.۲۱۸ وجود دارد و مهاجم می‌تواند با ارسال درخواستی کنترل شده، برنامه را به کرش و راه‌اندازی مجدد وادارد. 🚨 در شرایطی خاص و اگر برنامه دارای سازنده‌های بدون آرگومان یا رجیستررهای نامطمئن باشد، این اشکال می‌تواند بخشی از زنجیره‌های ا…

ادامه خبر ←

اشتراک‌گذاری

20 مهر 140410:36:32

⚠️ دو آسیب‌پذیری در پردازش symlink در 7Zip که می‌تواند به اجرای کد منجر شود

◻️ پژوهش‌ها نشان می‌دهد دو باگ (CVE-2025-11001 و CVE-2025-11002) در نحوه‌ی بازخوانی symlink داخل آرشیوهای ZIP اجازه می‌دهد فایل‌ها خارج از پوشه‌ی استخراج نوشته شوند و در زنجیره‌ای به اجرای کد ختم شوند. ⚠️ بهره‌برداری نیاز به تعامل کاربر (باز کردن/استخراج آرشیو مخرب) دارد اما با…

ادامه خبر ←

اشتراک‌گذاری

19 مهر 140417:46:41

✳️ حمله روز-صفر به Zimbra از طریق فایل تقویمی ‌ICS در محیط واقعی کشف شد

⚠️ هکری با جعل هویت اداره دیپلماتیک نیروی دریایی لیبی، با ارسال فایل تقویمی (.ICS) حاوی کد جاوااسکریپت مخرب، از آسیب‌پذیری CVE-2025-27915 در Zimbra استفاده کرده و به سیستم‌های نظامی برزیل نفوذ کرده است. ⚠️ بدافزار به صورت مخفیانه داده‌ها (اعتبارنامه‌ها، ایمیل‌ها، مخاطبین و پوشه…

ادامه خبر ←

اشتراک‌گذاری

19 مهر 140410:43:43

✳️ کشف آسیب‌پذیری بسیار بحرانی Redis با شناسه CVE-2025-49844 (“RediShell”)

⚠️ پژوهشگران Wiz اعلام کرده‌اند این ضعف که بیش از ۱۳ سال در کد Redis وجود داشته، امکان اجرای کد از راه دور (RCE) را به کمک اسکریپت Lua در محیط Redis فراهم می‌کند و امتیاز CVSS برابر ۱۰ دارد. ⚠️ تمامی نسخه‌های Redis درگیرند و اگر سرویس در معرض اینترنت یا بدون احراز هویت اجرا شد…

ادامه خبر ←

اشتراک‌گذاری

16 مهر 140416:29:58

✳️ حمله‌ای جدید به Oracle E-Business Suite با سوءاستفاده از آسیب‌پذیری روز صفر (CVE-2025-61882)

⚠️ محققان CrowdStrike گزارش داده‌اند که یک کمپین بزرگ از سوی گروهی احتمالی به نام GRACEFUL SPIDER در حال بهره‌برداری از آسیب‌پذیری‌ای است که اجازه اجرای کد از راه دور و بدون احراز هویت را در Oracle EBS می‌دهد. ⚠️ این حملات نخستین بار در ۹ اوت ۲۰۲۵ شناسایی شدند. در ۳ اکتبر، نسخ…

ادامه خبر ←

اشتراک‌گذاری

11 شهریور 140410:00:00

📰 نیاز به تایید هویت توسعه‌دهندگان اندروید به زودی

📄 گوگل برای افزایش امنیت و مقابله با اپلیکیشن‌های مخرب، فرآیند تأیید هویت توسعه‌دهندگان اندروید را اجباری می‌کند. این اقدام با هدف پاسخگو کردن توسعه‌دهندگان و دشوارتر کردن فعالیت برای افراد سودجو انجام می‌شود. این قانون جدید به صورت مرحله‌ای اجرا خواهد شد و شامل توسعه‌دهندگانی ک…

ادامه خبر ←

اشتراک‌گذاری