Cale Black

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** SmarterTools SmarterMail الإصدارات الأقدم من البيلد 9518 **الوصف** يقوم التطبيق بفك تشفير المدخلات التي يقدمها المهاجم باستخدام الترميز base64 ويستخدمها كمسار لنظام الملفات دون التحقق من صحتها. ويؤثر ذلك على نقطة النهاية الخاصة بعرض ”خلفية اليوم“. في أنظمة Windows، يتيح ذلك تحليل مسارات UNC، مما يؤدي إلى قيام خدمة SmarterMail ببدء محاولات مصادقة SMB الصادرة إلى المضيفات التي يسيطر عليها المهاجم. يمكن استغلال هذه الثغرة لسرقة بيانات الاعتماد، وشن هجمات إعادة إرسال NTLM، والمصادقة غير المصرح بها على الشبكة. تتيح هذه الثغرة للمهاجم تزويد مدخلات يتم استخدامها بعد ذلك كمسار لنظام الملفات دون إجراء التحقق المناسب. **التوصيات** قم بتحديث SmarterTools SmarterMail إلى الإصدار 9518 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات SmarterTools SmarterMail السابقة للإصدار 9511 **الوصف** يحتوي SmarterTools SmarterMail على ثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد دون مصادقة في طريقة API ConnectToHub. تسمح هذه الثغرة للمهاجمين بتوجيه خادم SmarterMail إلى خادم HTTP ضار، والذي يقوم بدوره بتوفير أمر ضار من نظام التشغيل يتم تنفيذه بواسطة التطبيق المعرض للخطر. هذه الثغرة، التي تم تتبعها تحت الرمز CVE-2026-24423، تحمل درجة CVSS تبلغ 9.3 ويتم استغلالها بشكل نشط من قبل جهات فاعلة في مجال برامج الفدية، بما في ذلك مجموعة Warlock المتخصصة في برامج الفدية. تؤثر هذه الثغرة الأمنية على الإصدارات السابقة للبناء 9511، وتسمح للمهاجمين بتنفيذ تعليمات برمجية عشوائية دون مصادقة عبر **نقطة نهاية واجهة برمجة التطبيقات** `/api/v1/settings/sysadmin/connect-to-hub`. اكتشفت WatchTowr Labs هذه الثغرة وتم إصلاحها في 15 يناير 2026. تشير التقارير إلى أن أكثر من 6,000 مثيل معرض للخطر على مستوى العالم. وقد لوحظ أن مجموعة برامج الفدية Warlock تستغل هذه الثغرة الأمنية، وقد أضافت وكالة الأمن السيبراني والبنية التحتية (CISA) هذه الثغرة إلى قائمة «الثغرات الأمنية المعروفة المستغلة»، وحددت موعدًا نهائيًا للإصلاح بحلول 26 فبراير 2026 للوكالات الفيدرالية. يُعرف المهاجمون بإنشاء وصول مسبق لعدة أيام قبل نشر برامج الفدية واستخدام أدوات مثل Velociraptor للتنقل الجانبي والتشفير. **التوصيات** قم بتحديث SmarterMail إلى الإصدار 9511

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Flowise من 3.0.1 إلى 3.0.7 إصدارات Flowise 3.0.8 والإصدارات الأحدث مع تمكين ’ALLOW BUILTIN DEP‘ **الوصف** يحتوي البرنامج على ثغرة أمنية تسمح بتنفيذ التعليمات البرمجية عن بُعد بعد المصادقة، بالإضافة إلى هروب من بيئة الحماية (sandbox) الخاصة بآلة Node الافتراضية (VM). ويرجع ذلك إلى الاستخدام غير الآمن للوحدات المدمجة (Puppeteer وPlaywright) داخل بيئة التشغيل nodevm. يمكن للمهاجم المصادق عليه، القادر على إنشاء أو تشغيل أداة تستخدم Puppeteer/Playwright، تحديد مسارات ومعلمات ملفات متصفح ثنائية يتحكم فيها المهاجم. عند تشغيل الأداة، يتم تنفيذ هذه العناصر التي يتحكم فيها المهاجم على المضيف، مما يتجاوز قيود صندوق الحماية nodevm ويسمح بتنفيذ تعليمات برمجية تعسفية في سياق المضيف. وقد حدد المطورون هذه المشكلة في البداية بشكل خاطئ على أنها نسخة مكررة من مشكلة أخرى. **التوصيات** قم بالتحديث إلى الإصدار 3.0.8 أو أحدث من Flowise وتأكد من تعطيل ’ALLOW BUILTIN DEP‘. بالنسبة للإصدارات الأقدم من 3.0.8، ضع في اعتبارك تقييد الوصول إلى الأدوات التي تستخدم Puppeteer/Playwright.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: DIAEnergie (الإصدارات المتأثرة غير محددة) الوصف: يحتوي البرنامج على ثغرة أمنية تتعلق بـ«التنفيذ البرمجي عبر المواقع» (XSS) المنعكس. التوصيات: لا توجد في الوقت الحالي أي معلومات حول إصدار أحدث يتضمن تصحيحًا لهذه الثغرة الأمنية.

اسم البرنامج المعرض للثغرة والإصدارات المتأثرة: DIAEnergie (الإصدارات المتأثرة غير محددة) الوصف: يحتوي البرنامج على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting) المخزّن. التوصيات: لا توجد في الوقت الحالي أي معلومات حول إصدار أحدث يتضمن تصحيحًا لهذه الثغرة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: DIAEnergie (الإصدارات المتأثرة غير محددة) الوصف: هذه المشكلة عبارة عن ثغرة أمنية تتعلق بالتنفيذ البرمجي عبر المواقع (cross-site scripting) المنعكس. التوصيات: لا توجد في الوقت الحالي أي معلومات حول إصدار أحدث يتضمن تصحيحًا لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: DIAEnergie (الإصدارات المتأثرة غير محددة) الوصف: يحتوي البرنامج على ثغرة أمنية تتعلق بـ«البرمجة النصية عبر المواقع» (XSS) المنعكسة. التوصيات: لا توجد في الوقت الحالي أي معلومات حول إصدار أحدث يتضمن تصحيحًا لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات BigAntSoft BigAnt Server حتى الإصدار 5.6.06 ضمناً **الوصف** تتعلق المشكلة بتنفيذ تعليمات برمجية عن بُعد دون مصادقة عبر تسجيل الحساب. يمكن لمهاجم عن بُعد غير مصدق إنشاء مستخدم إداري من خلال آلية التسجيل الافتراضية المكشوفة لخدمة SaaS. وبمجرد أن يصبح المهاجم مسؤولاً، يمكنه تحميل وتنفيذ تعليمات برمجية PHP تعسفية باستخدام ”Cloud Storage Addin“، مما يؤدي إلى تنفيذ تعليمات برمجية دون مصادقة. **التوصيات** بالنسبة لإصدارات BigAntSoft BigAnt Server حتى الإصدار 5.6.06 ضمناً، يُنصح بتعطيل «Cloud Storage Addin» لمنع تنفيذ تعليمات برمجية PHP تعسفية حتى يتوفر تصحيح. قم بتقييد الوصول إلى آلية تسجيل الحساب لتقليل مخاطر الاستغلال. تجنب استخدام آلية التسجيل الافتراضية المكشوفة لخدمة SaaS حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

Name of the Vulnerable Software and Affected Versions: Sage X3 System (affected versions not specified) Description: The issue allows an authenticated user with developer access to inject OS commands via the `CHAINE` variable used by the web application. It is noted that this developer configuration should not be deployed in production. Recommendations: At the moment, there is no information about a newer version that contains a fix for this vulnerability.

Name of the Vulnerable Software and Affected Versions: Sage X3 versions prior to 9 with Syracuse 9.22.7.2 Sage X3 HR & Payroll versions prior to 9 with Syracuse 9.24.1.3 Sage X3 versions prior to 11 with Syracuse 11.25.2.6 Sage X3 versions prior to 12 with Syracuse 12.10.2.8 Description: A specially crafted packet can elicit a response from the AdxDSrv.exe component that reveals the installation directory of the product. This issue can be combined with another vulnerability to achieve full remote code execution (RCE). Recommendations: For Sage X3 versions prior to 9 with Syracuse 9.22.7.2, update to AdxAdmin 93.2.53 or later. For Sage X3 HR & Payroll versions prior to 9 with Syracuse 9.24.1.3, update to AdxAdmin 93.2.53 or later. For Sage X3 versions prior to 11 with Syracuse 11.25.2.6, update to AdxAdmin 93.2.53 or later. For Sage X3 versions prior to 12 with Syracuse 12.10.2.8, update to AdxAdmin 93.2.53 or later.

**Name of the Vulnerable Software and Affected Versions** Akkadian Provisioning Manager Engine (PME) versions prior to 5.0.2 Akkadian OVA appliance versions prior to 3.0 Akkadian Appliance Manager versions prior to 3.3.0.314-4a349e0 **Description** The restricted shell provided by Akkadian Provisioning Manager Engine (PME) can be escaped by abusing the 'Edit MySQL Configuration' command, which launches a standard vi editor interface that can then be escaped. **Recommendations** For Akkadian Provisioning Manager Engine (PME) versions prior to 5.0.2, update to version 5.0.2 or later. For Akkadian OVA appliance versions prior to 3.0, update to version 3.0 or later. For Akkadian Appliance Manager versions prior to 3.3.0.314-4a349e0, update to version 3.3.0.314-4a349e0 or later.

**Name of the Vulnerable Software and Affected Versions** Akkadian Provisioning Manager Engine versions prior to 5.0.2 Akkadian OVA appliance versions prior to 3.0 Akkadian Appliance Manager versions prior to 3.3.0.314-4a349e0 **Description** The issue allows an attacker to bypass the restricted shell provided by Akkadian Provisioning Manager Engine by switching the OpenSSH channel from `shell` to `exec` and providing a single execution parameter. This could potentially allow a remote attacker to impact the confidentiality, integrity, and availability of protected information. **Recommendations** For Akkadian Provisioning Manager Engine versions prior to 5.0.2, update to version 5.0.2 or later. For Akkadian OVA appliance versions prior to 3.0, update to version 3.0 or later. For Akkadian Appliance Manager versions prior to 3.3.0.314-4a349e0, update to version 3.3.0.314-4a349e0 or later.

**Name of the Vulnerable Software and Affected Versions** Akkadian Provisioning Manager Engine (PME) versions prior to 5.0.2 Akkadian OVA appliance versions prior to 3.0 Akkadian Appliance Manager versions prior to 3.3.0.314-4a349e0 **Description** The issue concerns a hard-coded credential, with the username `akkadianuser` and password `haakkadianpassword`. This poses a significant security risk as it could allow unauthorized access. **Recommendations** For Akkadian Provisioning Manager Engine (PME) versions prior to 5.0.2, update to version 5.0.2 or later. For Akkadian OVA appliance versions prior to 3.0, update to version 3.0 or later. For Akkadian Appliance Manager versions prior to 3.3.0.314-4a349e0, update to version 3.3.0.314-4a349e0 or later.

**Name of the Vulnerable Software and Affected Versions** Crestron Console service versions 1.3384.00049.001 and lower **Description** The issue concerns command injection that can be used to gain root-level access. This affects devices with default configuration, specifically DGE-100, DM-DGE-200-C, and TS-1542-C devices. **Recommendations** For versions 1.3384.00049.001 and lower, update the firmware to a version higher than 1.3384.00049.001 to resolve the issue.