تحلیل آسیب‌پذیری‌های اخیر — CVE Analysis
CVE-2025-28965
WordPress URL Shortener - Broken Access Control Vulnerability
جولای 16, 2025
آسیب‌پذیری در پلاگین URL Shortener وردپرس تا نسخه 3.0.7 ناشی از کنترل نادرست دسترسی و عدم بررسی صحیح مجوزها (ACL) است و به کاربران بدون نیاز به احراز هویت اجازه می‌دهد به توابعی که باید محدود باشند دسترسی پیدا کنند.
CVE-2025-28959
WordPress URL Shortener - SQL Injection Vulnerability
جولای 16, 2025
آسیب‌پذیری بحرانی در پلاگین URL Shortener برای وردپرس تا نسخه 3.0.7، به دلیل عدم خنثی‌سازی مناسب المنت های خاص در دستورات SQL است و برای مهاجمان بدون نیاز به احراز هویت، امکان تزریق SQL یا SQL Injection را فراهم می‌کند.
CVE-2025-28962
WordPress Advanced Google Universal Analytics Plugin - Broken Access Control To Sensitive Data Exposure Vulnerability
آگوست 14, 2025
آسیب‌پذیری در پلاگین Advanced Google Universal Analytics برای وردپرس تا نسخه 1.0.3، به دلیل عدم بررسی مجوز (Missing Authorization) رخ می‌دهد و برای کاربران با سطح دسترسی پایین مانند Subscriber، امکان افشای داده‌های حساس را فراهم می‌کند.
CVE-2025-27696
Apache Superset: Incorrect Authorization Leading To Resource Ownership Takeover
سپتامبر 1, 2025
آسیب‌پذیری کنترل نادرست مجوزها در پلتفرم Apache Superset به کاربران احراز هویت شده با دسترسی فقط خواندن (read permissions) اجازه می‌دهد مالکیت داشبورد‌ها، چارت‌ها یا مجموعه داده ها (datasets) را به دست آورند.
CVE-2025-27556
Django Denial-of-Service Vulnerability in Authentication Views on Windows
آوریل 2, 2025
آسیب‌پذیری در فریم‌ورک Django روی ویندوز امکان حمله انکار سرویس (DoS) را از طریق ورودی‌هایی با تعداد بسیار زیاد کاراکتر یونیکد فراهم می‌کند. این ضعف امنیتی به دلیل کندی فرآیند نرمال سازی NFKC در پایتون روی ویندوز ایجاد می‌شو...
CVE-2025-27240
Secondary-Order SQL Injection In Zabbix Server When Deleting An Autoregistered Host
سپتامبر 15, 2025
آسیب‌پذیری تزریق SQL مرتبه دو (Secondary-order SQL Injection) در سرور Zabbix شناسایی شده است. یک مدیر (Administrator) می‌تواند هنگام حذف خودکار میزبان‌ها، با قرار دادن کد SQL مخرب در فیلد نام نمایشی (Visible name)، دستورات SQL دلخواه را اجرا کند.
CVE-2025-27054
Out-Of-Bounds Write In Display
اکتبر 9, 2025
آسیب‌پذیری نوشتن خارج از محدوده (Out-of-bounds Write) در کامپوننت Display پلتفرم‌های Snapdragon شناسایی شده است که هنگام پردازش یک فایل مجوز (License) مخرب در زمان راه اندازی مجدد (reboot) منجر به خرابی حافظه می‌شود.
CVE-2025-2749
Kentico Xperience Staging Media Files Upload Authenticated Remote Code Execution
مارس 24, 2025
آسیب‌پذیری اجرای کد از راه دور (RCE) احراز هویت‌شده در Kentico Xperience به کاربران دارای دسترسی در سرور Staging Sync اجازه می دهد داده‌های دلخواه را در مسیرهای نسبی آپلود کنند؛ این امر باعث پیمایش مسیر (Path Traversal) و بارگذاری فایل‌های قا...
CVE-2025-27040
Improper Input Validation In TZ Firmware
اکتبر 9, 2025
آسیب‌پذیری عدم اعتبارسنجی مناسب ورودی در فریم‌ور TZ (TrustZone) پلتفرم‌های Snapdragon شناسایی شده است که منجر به افشای اطلاعات در هنگام پردازش لاگ هایپروایزر (hypervisor log) می‌شود.
CVE-2025-27915
Stored XSS in Zimbra Collaboration Classic Web Client via Malicious ICS Files
مارس 12, 2025
آسیب‌پذیری XSS ذخیره شده در Zimbra Collaboration Suite (ZCS) نسخه‌های 9.0، 10.0 و 10.1 در کامپوننت کلاینت وب کلاسیک (Classic Web Client)، به دلیل عدم پاک‌سازی مناسب محتوای HTML در فایل‌های ICS است. در این حمله، مهاجم می‌تواند با ارسال یک ایمیل حاوی ICS مخ...
CVE-2025-27906
IBM Content Navigator Information Disclosure
اکتبر 14, 2025
آسیب‌پذیری افشای لیست دایرکتوری‌ها در IBM Content Navigator نسخه‌های 3.0.11، 3.0.15، 3.1.0 و 3.2.0 امکان مشاهده لیست دایرکتوری‌های اپلیکیشن از طریق URL را فراهم می‌کند. فایل‌ها و فولدرها برای کاربر قابل مشاهده هستند اما محتویات آنها قابل ...
CVE-2025-27060
Untrusted Pointer Dereference In TZ Firmware
اکتبر 9, 2025
آسیب‌پذیری ارجاع اشاره‌گر غیرقابل اعتماد در فریم‌ور TZ (TrustZone) شرکت کوالکام در Snapdragon به دلیل فراخوانی SCM (Secure Channel Manager) با ورودی‌های مخرب، منجر به خرابی حافظه (memory corruption) می‌شود.