Vɪᴘ_Sᴇᴄᴜʀɪᴛʏ™

#اخبار #خبر
⚠️ آسیب پذیری حیاتی CVE-2025-29927 در Next.js

فریمورک Next.js از یک هدر داخلی

x-middleware-subrequest

برای جلوگیری از ایجاد حلقه های نامحدود درخواست های بازگشتی استفاده می کند. گزارش امنیتی نشان داد که امکان رد شدن از middleware وجود دارد که می‌تواند به درخواست‌ها اجازه دهد تا از بررسی‌های حیاتی - مانند اعتبارسنجی کوکی مجوز - قبل از رسیدن به مسیر های اصلی عبور کنند.

❌ نسخه های Next.js زیر تحت تأثیر این آسیب پذیری قرار دارند:
Next.js 15.x < 15.2.3
Next.js 14.x < 14.2.25
Next.js 13.x < 13.5.9


🛡 نسخه های پچ شده و امن :

✔️ برای Next.js 15.x، این مشکل در 15.2.3 برطرف شده است
✔️برای Next.js 14.x، این مشکل در 14.2.25 برطرف شده است
✔️برای Next.js 13.x، این مشکل در 13.5.9 برطرف شده است
✔️برای Next.js 12.x، این مشکل در نسخه 12.3.5 برطرف شده است

📌 بررسی و تحلیل این آسیب پذیری :

📎 https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware

📎 https://slcyber.io/assetnote-security-research-center/doing-the-due-diligence-analysing-the-next-js-middleware-bypass-cve-2025-29927/

📣 @Vip_Security
🌐 www.VipSecurity.zone

#کنفرانس #DEFCON33
🔔 ارسال مقاله، ورکشاپ و دمو برای کنفرانس هکری DEFCON33 تا 1 مه |11 اردیبهشت باز شده. خود کنفرانس 7 تا 11 آگوست | 16 تا 20 مرداد در لاس وگاس برگزار میشه.

📎 https://defcon.org/html/defcon-33/dc-33-cfi.html

📣 @Vip_Security
🌐 www.VipSecurity.zone

#اخبار #خبر
‼️ یک آسیب پذیری اجرای کد از راه دور (RCE) در برنامه Telegram برای سیستم عامل MacOS کشف شده که یک محقق امنیتی با استفاده از هوش مصنوعی Manus تونسته کشف کنه.

📌 این RCE رو هم اینجوری پیدا کرده. آسیب پذیری روی یک فرمت فایل خاص هستش که بعد دانلود، با کلیک روش، کد اجرا میشه.

این آسیب پذیری در آخرین نسخه‌های Telegram برای MacOS نیز تست شده و کار می‌کند.

📎
https://mp.weixin.qq.com/s/RiFgghK96QN-201SE5q8ag

📣 @Vip_Security
🌐 www.VipSecurity.zone

نوروز ۱۴۰۴ بر همه شما عزیزان مبارک🎉

امیدوارم همگی در کنار خانواده محترمتون سال خوبی پیش رو داشته باشید❤️


#نوروز_۱۴۰۴
📣 @Vip_Security
🌐 www.VipSecurity.zone

📌 #کتاب HTTP: The Definitive Guide


🇺🇸 زبان : انگلیسی
👨‍💻 نویسندگان: David Gourley, Brian Totty, Marjorie Sayer, Anshu Aggarwal, Sailu Reddy

این کتاب به وضوح پروتکل HTTP و این فناوری‌های هسته‌ای مرتبط به هم را در بیست و یک فصل سازمان‌دهی شده منطقی، که با صدها تصویر و مثال دقیق و ضمیمه‌های مرجع مناسب پشتیبان شده است، توضیح می‌دهد.

🔥 این کتاب به شدت برای برنامه نویسان وب و پنتستر/هانترای وب پیشنهاد میشه

⬇️ دانلود در پست بعدی ⬇️

📣 @Vip_Security
🌐 www.VipSecurity.zone

📌 10 تکنیک برتر وب هکینگ در سال 2024 منتشر شد !

🙂 بچه ها مقاله امید هم رتبه ۸ ام رو تونست کسب کنه خیلی خوشحالیم براش و تبریک میگیم بهش و آرزوی موفقیت های بیشتری رو براش داریم ❤️ حتما مقالش بخونید :

- OAuth Non-Happy Path to ATO 🔥

برای مشاهده جزئیات کامل این لیست، حتماً به لینک زیر سر بزنید:
📎 https://portswigger.net/research/top-10-web-hacking-techniques-of-2024

📣 @Vip_Security
🌐 www.VipSecurity.zone

#خبر #اخبار
🔴 حفره امنیتی در DeepSeek AI باعث افشای پایگاه داده شد: بیش از 1 میلیون لاین لاگ و api key های و کلی اطلاعات دیگر

📌 استارت‌آپ هوش مصنوعی چینی (AI) DeepSeek که در روزهای اخیر محبوبیت زیادی داشته است، یکی از پایگاه‌های داده خود را در اینترنت در معرض دید قرار داد که می‌توانست به عوامل مخرب اجازه دهد به داده‌های حساس دسترسی پیدا کنند.

📌 گال ناگلی (Gal Nagli)، محقق امنیتی شرکت Wiz، گفت: پایگاه داده ClickHouse "به کنترل کامل عملیات پایگاه داده، از جمله امکان دسترسی به داده های داخلی اجازه می دهد."

❗️ این قرارگیری همچنین شامل بیش از یک میلیون خط جریان گزارش شامل تاریخچه چت، کلیدهای مخفی، جزئیات سمت بک اند و سایر اطلاعات بسیار حساس، مانند کلید های مخفی API و متا دیتا های عملیاتی است.

⚠️ گفته می شود که پایگاه داده، میزبانی شده در oauth2callback.deepseek.com:9000 و dev.deepseek.com:9000، دسترسی غیرمجاز به طیف وسیعی از اطلاعات را فعال کرده است. Wiz خاطرنشان کرد که قرار گرفتن در معرض، امکان کنترل کامل پایگاه داده و افزایش امتیازات احتمالی را در محیط DeepSeek بدون نیاز به هیچ گونه احراز هویت فراهم می کند. این شامل استفاده از رابط HTTP ClickHouse برای اجرای درخواست های SQL دلخواه مستقیماً از طریق مرورگر وب بود. در حال حاضر مشخص نیست که آیا سایر عوامل مخرب از این فرصت برای دسترسی یا دانلود داده ها استفاده کرده اند یا خیر.

🛡 درحال حاضر این حفره امنیتی رفع شده است

ℹ️ بلاگ/رایتاپ کامل این موضوع را میتوانید از لینک زیر مشاهده کنید :
📎 https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak

📣 @Vip_Security
🌐 www.VipSecurity.zone

📌 #کتاب Metasploit: The Penetration Tester’s Guide second edition

راهنمای تست نفوذ برای بیش از یک دهه منبع ارزیابی امنیتی قطعی بوده است. فریمورک Metasploit کشف، اکسپلویت و اشتراک گذاری آسیب پذیری ها را سریع و نسبتاً بدون دردسر می کند، اما استفاده از آن برای تازه واردان می تواند چالش برانگیز باشد.

👨‍💻 نویسندگان: David Kennedy, Mati Aharoni, Devon Kearns, Jim O’Gorman, and Daniel Graham
🇺🇸 زبان: انگلیسی

⬇️دانلود در پست بعدی⬇️

📣 @Vip_Security
🌐 www.VipSecurity.zone