رفتن به محتوا
IROSG.
EN
IROSG/مرکز دانش/CVEهای جدید و شاخص
IROSG / CVES

CVEهای جدید و شاخص.

ریسک را بشناس؛ آگاهانه دفاع کن.

پرونده‌های مستند آسیب‌پذیری؛ از موارد شاخص تا تازه‌ترین افزوده‌های فهرست بهره‌برداری‌شدهٔ CISA.

کشف محتوا 324

ویژه‌های تحریریه، سپس CISA KEV و تازه‌ترین پرونده‌ها
کارت اطلاعاتی CVE-2026-96656؛ PlexCVEهای جدید و شاخصCVE-2026-96656
امنیت سایبری

CVE-2026-96656؛ Plex؛ نوشتن فایل دلخواه با حساب مدیر

در Plex Media Server، کاربر دارای اختیار مدیریتی می‌تواند از ضعف کنترل نام یا مسیر فایل به نوشتن فایل دلخواه برسد؛ برخی فایل‌ها ممکن است هنگام بارگذاری اجرا شوند. CISA این مورد را بخشی از یک زنجیره احتمالی همراه با سه شناسه دیگر Plex معرفی کرده است.

CVSS 8.6بخوانید
کارت اطلاعاتی CVE-2026-106931؛ EG Secure SolutionsCVEهای جدید و شاخصCVE-2026-106931
امنیت سایبری

CVE-2026-106931؛ SiteGuard؛ تزریق فرمان با دسترسی محلی

SiteGuard Server Edition دارای نقص تزریق فرمان سیستم‌عامل است. رکورد رسمی برای سناریوی امتیازدهی به دسترسی محلی و سطحی از مجوز اولیه اشاره می‌کند؛ پیامد می‌تواند اجرای فرمان با اختیار root یا SYSTEM باشد. بنابراین نباید آن را بدون توضیح پیش‌شرط‌ها، حمله بی‌نیاز از احراز هویت از اینترنت معرفی کرد.

CVSS 8.5بخوانید
کارت اطلاعاتی CVE-2025-61624؛ FortinetCVEهای جدید و شاخصCVE-2025-61624
امنیت سایبری

CVE-2025-61624؛ Fortinet؛ پیمایش مسیر در چند محصول با دسترسی مدیریتی

چند محصول Fortinet از جمله FortiOS، FortiPAM، FortiProxy و FortiSwitchManager دارای ضعف محدودسازی مسیر هستند. مهاجم احرازهویت‌شده با پروفایل مدیریتی و اختیار خواندن و نوشتن می‌تواند در شرایط ثبت‌شده فایل دلخواه را بنویسد یا حذف کند. پیش‌شرط مدیریتی این نقص نباید از گزارش حذف شود.

CVSS 5.4بخوانید
کارت اطلاعاتی CVE-2026-102764؛ BeyondTrustCVEهای جدید و شاخصCVE-2026-102764
امنیت سایبری

CVE-2026-102764؛ BeyondTrust Remote Support؛ کنترل ناکافی مبدأ پیام

برخی مؤلفه‌های داخلی Remote Support مبدأ پیام دریافتی را به‌قدر کافی اعتبارسنجی نمی‌کنند. این ضعف در شرایط مناسب می‌تواند امکان دورزدن احراز هویت و انجام عملیات روی فایل‌های دستگاه را فراهم کند. رکورد، نسخه‌های تا 26.2.3 را در بازه تحت تأثیر قرار می‌دهد.

CVSS 9.3بخوانید
کارت اطلاعاتی CVE-2026-21589؛ AtlassianCVEهای جدید و شاخصCVE-2026-21589
امنیت سایبری

CVE-2026-21589؛ Atlassian Data Center؛ دسترسی بدون احراز هویت به بعضی فایل‌ها

این نقص چند محصول Atlassian Data Center را تحت تأثیر قرار می‌دهد و می‌تواند دسترسی مهاجم بدون احراز هویت به فایل‌های مشخصی در ریشه برنامه وب را ممکن کند. دامنه محصولات شامل چند خانواده مانند Jira، Confluence و Bitbucket است؛ ارزیابی فقط یک محصول برای اعلام سلامت کل مجموعه کافی نیست. بهره‌برداری به دانستن نام و مسیر دقیق فایل نیاز دارد؛ این نقص به‌خودی‌خود امکان فهرست‌کردن محتوای پوشه‌ها را نمی‌دهد.

CVSS 9.3بخوانید
کارت اطلاعاتی CVE-2026-0322؛ Palo Alto NetworksCVEهای جدید و شاخصCVE-2026-0322
امنیت سایبری

CVE-2026-0322؛ PAN-OS؛ اجرای کد با اختیار root پس از احراز هویت

آسیب‌پذیری تزریق کد در PAN-OS می‌تواند به مهاجم احرازهویت‌شده دارای دسترسی شبکه، امکان اجرای کد با اختیار root روی فایروال بدهد. لازم است پیش‌شرط احراز هویت و سناریوی دقیق محصول در ارزیابی حفظ شود. مسیر مورد اشاره رابط مدیریت است و بردار رسمی به اختیار اولیه بالا (PR:H) نیاز دارد. Cloud NGFW و Prisma Access طبق اطلاعیه تحت تأثیر نیستند.

CVSS 8.6بخوانید
کارت اطلاعاتی CVE-2026-105133؛ AhsayCVEهای جدید و شاخصCVE-2026-105133
امنیت سایبری

CVE-2026-105133؛ AhsayCBS؛ دورزدن احراز هویت در API

اعتبارسنجی نادرست در بخشی از API سامانه AhsayCBS می‌تواند احراز هویت را دور بزند. اهمیت عملی این مورد به ارتباط آن با نقص اجرای فرمان CVE-2026-105134 نیز مربوط است. امتیاز متوسط یک مؤلفه، دلیل کم‌اهمیت‌دانستن زنجیره کامل نیست.

CVSS 6.9بخوانید
کارت اطلاعاتی CVE-2026-76519؛ CiscoCVEهای جدید و شاخصCVE-2026-76519
امنیت سایبری

CVE-2026-76519؛ Cisco Secure Email Gateway؛ نوشتن فایل از طریق پیمایش مسیر

نقص پیمایش مسیر نسبی در Cisco Secure Email Gateway می‌تواند به مهاجم دوردستِ بدون احراز هویت اجازه نوشتن فایل دلخواه روی سیستم‌عامل زیرین بدهد. یک درگاه ایمیل حساسیت بالایی دارد، زیرا در مسیر دریافت و پردازش محتوای بیرونی قرار می‌گیرد. سناریوی سازنده به قابلیت Advanced Malware Protection و فعال‌بودن سرویس اعتبارسنجی شهرت فایل مربوط است؛ پیامد موفق می‌تواند اجرای فرمان با اختیار root باشد.

CVSS 9.8بخوانید
کارت اطلاعاتی CVE-2026-105134؛ AhsayCVEهای جدید و شاخصCVE-2026-105134
امنیت سایبری

CVE-2026-105134؛ AhsayCBS؛ تزریق فرمان در مؤلفه دریافت تکثیر

نقص تزریق فرمان در مؤلفه دریافت تکثیر AhsayCBS می‌تواند اجرای فرمان سیستم‌عامل را از راه دور ممکن کند. طبق CISA، این مورد قابلیت زنجیره‌شدن با CVE-2026-105133 را دارد؛ بررسی جداگانه یک شناسه ممکن است تصویر کامل خطر سامانه پشتیبان را نشان ندهد.

CVSS 10بخوانید