رفتن به محتوا
IROSG.
EN
IROSG/مرکز دانش/CVEهای جدید و شاخص
IROSG / CVES

CVEهای جدید و شاخص.

ریسک را بشناس؛ آگاهانه دفاع کن.

پرونده‌های مستند آسیب‌پذیری؛ از موارد شاخص تا تازه‌ترین افزوده‌های فهرست بهره‌برداری‌شدهٔ CISA.

کشف محتوا 324

ویژه‌های تحریریه، سپس CISA KEV و تازه‌ترین پرونده‌ها
کارت CVE-2026-48356CVEهای جدید و شاخصCVE-2026-48356
آسیب‌پذیری‌های امنیتی

CVE-2026-48356؛ آسیب‌پذیری Adobe Commerce و Magento

بارگذاری فایل با نوع خطرناک در Adobe Commerce و Magento در فهرست KEV قرار گرفته و نیازمند اصلاح فوری بر اساس راهنمای سازنده است. امتیاز CVSS ثبت‌شده 9.3 است؛ دامنه اثر و اقدام دفاعی را بررسی کنید.

CVSS 9.3بخوانید
کارت اطلاعاتی CVE-2026-110447؛ CollaboraCVEهای جدید و شاخصCVE-2026-110447
امنیت سایبری

CVE-2026-110447؛ Collabora Built-in CODE؛ اجرای فرمان در استقرار داخلی Nextcloud

این آسیب‌پذیری به برنامه Collabora Online Built-in CODE Server با نام richdocumentscode در Nextcloud مربوط است. وقتی CODE Server اجرا نمی‌شود، مانند برخی شرایط پس از راه‌اندازی مجدد، نقص تزریق فرمان می‌تواند اجرای کد از راه دور را ممکن کند. رکورد رسمی تصریح می‌کند سرور مستقل Collabora Online مشمول این نقص مشخص نیست.

CVSS 9.2بخوانید
کارت اطلاعاتی CVE-2026-114625؛ AristaCVEهای جدید و شاخصCVE-2026-114625
امنیت سایبری

CVE-2026-114625؛ Arista VeloCloud؛ افزایش اختیار کاربر احرازهویت‌شده در Orchestrator

در VeloCloud Orchestrator، کاربر احرازهویت‌شده می‌تواند به اختیارات Operator برسد و در شرایط آسیب‌پذیر، هویت یک superuser operator محلی را جعل کند. این دسترسی شامل قابلیت‌های داخلی حساس است. پیش‌شرط داشتن حساب معتبر را نباید از گزارش حذف کرد. طبق رکورد سازنده، نسخه‌های میزبانی‌شده و Dedicated نیز تحت تأثیر بوده‌اند اما پیش از اطلاعیه اصلاح شده‌اند.

CVSS 9.4بخوانید
کارت اطلاعاتی CVE-2026-110936؛ SiemensCVEهای جدید و شاخصCVE-2026-110936
امنیت سایبری

CVE-2026-110936؛ Siemens Software Center؛ مسیر جست‌وجوی کنترل‌نشده DLL

Siemens Software Center ممکن است کتابخانه پویا را از مسیر جست‌وجوی کنترل‌نشده بارگذاری کند. مهاجم محلیِ احرازهویت‌شده، با پیش‌شرط‌های ذکرشده در رکورد، می‌تواند باعث اجرای کد با اختیار برنامه آسیب‌پذیر شود. این نقص را نباید خودکار معادل اجرای کد بی‌نیاز از دسترسی محلی دانست. بردار امتیازدهی، سطح دسترسی محلی بالا (PR:H) را در پیش‌شرط‌ها ثبت می‌کند.

CVSS 8.4بخوانید
کارت اطلاعاتی CVE-2026-96652؛ PlexCVEهای جدید و شاخصCVE-2026-96652
امنیت سایبری

CVE-2026-96652؛ Plex؛ ضعف در کنترل مقصد درخواست سرور

پردازش نامناسب بخشی از اطلاعات درخواست در Plex Media Server می‌تواند باعث ارسال درخواست سرور به مقصد انتخاب‌شده توسط مهاجم شود. این مورد نیز از نوع SSRF است و در اطلاعیه CISA همراه با زنجیره چند نقص Plex آمده است.

CVSS 5.3بخوانید
کارت اطلاعاتی CVE-2026-96654؛ PlexCVEهای جدید و شاخصCVE-2026-96654
امنیت سایبری

CVE-2026-96654؛ Plex؛ اعتبارسنجی ناقص نشانی‌ها و فراخوانی افزونه‌ها

خنثی‌سازی نامناسب مقادیر URL در Plex Media Server می‌تواند امکان فراخوانی قابلیت‌های افزونه‌های دیگر با پارامترهای انتخاب‌شده توسط مهاجم را فراهم کند. طبق CISA، این نقص می‌تواند با دیگر آسیب‌پذیری‌های مجموعه Plex زنجیره شود؛ شدت یک جزء را نباید تنها معیار خطر زنجیره دانست.

CVSS 6.9بخوانید
کارت اطلاعاتی CVE-2026-96655؛ PlexCVEهای جدید و شاخصCVE-2026-96655
امنیت سایبری

CVE-2026-96655؛ Plex؛ درخواست سمت سرور به مقصدهای ناخواسته

این نقص از نوع جعل درخواست سمت سرور یا SSRF است. کاربر احرازهویت‌شده می‌تواند باعث درخواست سرور به مقصدهای داخلی یا بیرونی ناخواسته شود. میزان اثر به دسترسی شبکه‌ای خود سرور و سرویس‌های قابل‌دسترسی از آن بستگی دارد.

CVSS 5.3بخوانید