رفتن به محتوا
IROSG.
EN
IROSG/مرکز دانش/CVEهای جدید و شاخص
IROSG / CVES

CVEهای جدید و شاخص.

ریسک را بشناس؛ آگاهانه دفاع کن.

پرونده‌های مستند آسیب‌پذیری؛ از موارد شاخص تا تازه‌ترین افزوده‌های فهرست بهره‌برداری‌شدهٔ CISA.

کشف محتوا 334

ویژه‌های تحریریه، سپس CISA KEV و تازه‌ترین پرونده‌ها
تصویر رسمی معرفی SSL Wireless SMS Notification؛ نه تصویر رخداد امنیتیCVEهای جدید و شاخصCVE-2026-96228
امنیت سایبری

CVE-2026-96228؛ ورود بدون تأیید رمز پیامکی در SSL Wireless SMS Notification

افزونهٔ SSL Wireless SMS Notification برای WordPress در نسخه‌های تا 3.8.1، شامل این نسخه، دارای نقص احراز هویت است. طبق رکورد Wordfence، مهاجم ناشناس که شمارهٔ تلفن متصل به حساب را می‌داند می‌تواند حساب را تصاحب کند. مشکل در مرحلهٔ نهایی ورود قرار دارد: صدور نشست بدون تأیید صحیح رمز پیامکی و بدون بررسی وضعیت یک‌بارمصرف سمت سرور انجام می‌شود. دانستن شمارهٔ متصل، شرطی مهم است و نباید از توصیف حذف شود.

CVSS 8.1بخوانید
تصویر رسمی معرفی Bot for Telegram on WooCommerce / guruteam؛ نه تصویر رخداد امنیتیCVEهای جدید و شاخصCVE-2026-109516
امنیت سایبری

CVE-2026-109516؛ تصاحب حساب از طریق یکپارچه‌سازی Telegram در WooCommerce

افزونهٔ Bot for Telegram on WooCommerce در همهٔ نسخه‌ها تا 1.3.0 شامل این نسخه، طبق رکورد Wordfence دارای دورزدن احراز هویت است. مهاجم ناشناس با دانستن نام کاربری می‌تواند به حساب وردپرس، حتی حساب مدیر، وارد شود. زنجیرهٔ نقص به دریافت به‌روزرسانی جعلی ربات، نبود تأیید منشأ وب‌هوک و صدور نشست بر پایهٔ نگاشت نامطمئن هویت مربوط است. این گزارش نمونهٔ درخواست اجرایی ارائه نمی‌کند؛ برای تصمیم اصلاح، شناخت مرز اعتماد کافی است.

CVSS 9.8بخوانید
نشان Red Hat؛ تصویر معرفی محصول و نه رخداد امنیتیCVEهای جدید و شاخصCVE-2026-114488
امنیت سایبری

CVE-2026-114488؛ جعل هویت در فراخوانی IIOP EJB در WildFly

Red Hat نقصی در WildFly گزارش کرده که در آن رهگیر امنیتی CSIv2، ادعای هویت ITTPrincipalName را بدون بررسی احراز هویت در لایهٔ انتقال می‌پذیرد. مهاجم راه دور پیش از احراز هویت می‌تواند در فراخوانی EJBهای دارای رابط Remote که از طریق IIOP ارائه شده‌اند، خود را به جای هویت دیگری معرفی کند. رکورد رسمی پورت 3528 را برای این سناریو ذکر می‌کند؛ در استقرار واقعی نگاشت پورت و مسیر دسترسی نیز باید بررسی شود.

CVSS 7.4بخوانید
نشان Radius Synergies؛ تصویر معرفی محصول و نه رخداد امنیتیCVEهای جدید و شاخصCVE-2026-114358
امنیت سایبری

CVE-2026-114358؛ تزریق SQL در بازیابی گذرواژهٔ Radius Xenia M2M

CERT-In در رکورد منتشرشده در ۲۹ اکتبر ۲۰۲۶، اعتبارسنجی ناکافی ورودی در قابلیت بازیابی گذرواژهٔ رابط مدیریت وب Radius Xenia M2M Platform را ثبت کرده است. مهاجم راه دور بدون احراز هویت می‌تواند از این ضعف برای تزریق SQL استفاده کند. پیامدهای بیان‌شده، دسترسی غیرمجاز به اطلاعات حساس، شناخت ساختار پایگاه داده یا تغییر رکوردها هستند. رکورد رسمی اجرای فرمان سیستم‌عامل یا کنترل مستقیم تجهیزات متصل را تأیید نمی‌کند.

CVSS 9.3بخوانید
نشان Octopus Deploy؛ تصویر معرفی محصول و نه رخداد امنیتیCVEهای جدید و شاخصCVE-2026-118426
امنیت سایبری

CVE-2026-118426؛ جست‌وجوی کاربران و گروه‌های LDAP توسط کاربران عادی Octopus Server

در نسخه‌های متأثر Octopus Server، وقتی فراهم‌کنندهٔ احراز هویت LDAP فعال است، هر کاربر احراز‌شده می‌تواند جست‌وجوی کاربران و گروه‌های LDAP را فراخوانی کند. رکورد رسمی سازنده این موضوع را به افشای اطلاعات با شدت متوسط نسبت می‌دهد. این نقص ورود ناشناس به Octopus یا اجرای مستقیم فرمان استقرار نیست؛ حساب معتبر و فعال بودن فراهم‌کنندهٔ LDAP، دو شرط مهم برای ارزیابی مواجهه هستند.

CVSS 5.3بخوانید
نشان Canva؛ سازندهٔ ثبت‌شدهٔ Ortto در رکورد CNA، نه تصویر رخدادCVEهای جدید و شاخصCVE-2026-113387
امنیت سایبری

CVE-2026-113387؛ تغییر تنظیمات Ortto در وردپرس بدون احراز هویت

رکورد رسمی Canva برای افزونهٔ Ortto در WordPress می‌گوید درخواست‌های تغییر تنظیمات پیش از نسخهٔ 1.0.25 احراز هویت نمی‌شدند. سازوکار محافظتی به رازی تکیه داشت که در HTML عمومی دیده می‌شد. مهاجم ناشناس می‌توانست تنظیمات افزونه را بازنویسی کند و باعث ارائهٔ اسکریپت دلخواه شود. این سناریو با دزدیده شدن رمز مدیر تفاوت دارد: مشکل در اعتماد به مقداری است که اساساً برای بازدیدکننده قابل مشاهده است.

CVSS 8.6بخوانید
نشان frangoteam؛ تصویر معرفی محصول و نه رخداد امنیتیCVEهای جدید و شاخصCVE-2026-42922
امنیت سایبری

CVE-2026-42922؛ دورزدن مجوز Node-RED در FUXA و امکان اجرای کد

گزارش Cisco Talos، نقص کنترل مجوز در مسیر nodered نرم‌افزار FUXA را شرح می‌دهد. نسخهٔ تأییدشدهٔ متأثر 1.3.2-2809 است و مهاجم بدون حساب می‌تواند با درخواست شبکه به اجرای کد برسد. FUXA ابزار وب برای ساخت رابط نظارت و کنترل فرایندهاست؛ بنابراین اهمیت استقرار فقط به محرمانگی یک وب‌سایت محدود نمی‌شود و ارتباط آن با تجهیزات و فرایندهای واقعی باید در ارزیابی محلی لحاظ شود.

CVSS 9.8بخوانید
نشان openEQUELLA؛ تصویر معرفی محصول و نه رخداد امنیتیCVEهای جدید و شاخصCVE-2026-66088
امنیت سایبری

CVE-2026-66088؛ اجرای فرمان با مجوز سرویس در موتور اسکریپت openEQUELLA

در openEQUELLA پیش از 2026.1، تابع system.execute در موتور اسکریپت امکان اجرای فرمان سیستم‌عامل را بدون اعتبارسنجی یا فهرست مجاز برنامه‌ها فراهم می‌کند. طبق رکورد رسمی، کاربری که بتواند اسکریپت ایجاد یا ویرایش کند ممکن است فرمان دلخواه را با مجوز حساب سرویس openEQUELLA اجرا کند. نکتهٔ تعیین‌کننده همین مجوز نوشتن اسکریپت است؛ این گزارش دسترسی ناشناس به تمام نصب‌های محصول را ادعا نمی‌کند.

CVSS 9.4بخوانید