Satel Netco Design — چند آسیب‌پذیری مهم (CVE-2026-105269, CVE-2026-104628, CVE-2026-105275, CVE-2026-101024)

خلاصه وقایع
این اطلاعیه بر پایه گزارش CISA Cybersecurity Advisories است و جزئیات از منبع اصلی گرفته شده است. شرکت Satel آسیب‌پذیری‌هایی در محصول Satel Netco Design نسخه‌های پیش از v2.1.7 را تأیید کرده که براساس اعلام CISA می‌توانند به سوء‌استفاده‌های مختلف منجر شوند. گزارش‌دهنده: Alex Williams از Pellera Technologies.

محصول آسیب‌پذیر
- Satel Netco Design: نسخه‌های <v2.1.7 (مشخصاً وصله/نسخهٔ v2.1.7 توسط سازنده برای رفع منتشر شده است).

آسیب‌پذیری‌های گزارش‌شده (طبق منبع)
- CVE-2026-105269 — Stored Cross-Site Scripting (CWE-79)
- شرح: کاربر احرازشده با امتیاز Network Operator می‌تواند محتوای نامطمئن ذخیره کند که هنگام مشاهدهٔ آن توسط کاربر دیگر، بدون شکست مناسب خنثی‌سازی اجرا می‌شود.
- اثر: اجرای اسکریپت در مرورگر کاربر دیگر.
- نمره‌ها: CVSS v3.1 6.8 (MEDIUM)؛ CVSS v4.0 8.5 (HIGH).

- CVE-2026-104628 — Inefficient Regular Expression Complexity (CWE-1333)
- شرح: کاربر احرازشده با امتیاز Viewer می‌تواند ورودی‌های جستجو را طوری بسازد که منجر به پردازش‌ بیش‌ازحد و کاهش در دسترس‌پذیری برنامه شود (ReDoS-like).
- اثر: افت عملکرد یا از دسترس خارج شدن موقتی خدمات.
- نمره‌ها: CVSS v3.1 6.5 (MEDIUM)؛ CVSS v4.0 7.1 (HIGH).

- CVE-2026-105275 — Relative Path Traversal در عملکرد import (CWE-23)
- شرح: کاربر احرازشده با امتیاز Viewer می‌تواند از مسیرهای نسبی استفاده کرده و به فایل‌هایی بیرون از دایرکتوری موردنظر دسترسی یابد؛ پاسخ‌های قابل مشاهدهٔ برنامه می‌تواند وجود فایل‌ها را آشکار کند.
- اثر: افشای وجود یا عدم‌وجود فایل‌ها در میزبان.
- نمره‌ها: CVSS v3.1 4.3 (MEDIUM)؛ CVSS v4.0 5.3 (MEDIUM).

- CVE-2026-101024 — Relative Path Traversal در عملکرد export (CWE-23)
- شرح: کاربر احرازشده با امتیاز Viewer می‌تواند محتوا را به مسیرهای فایل‌سیستم که توسط سرویس برنامه قابل‌دسترس‌اند بنویسد.
- اثر: ایجاد یا تغییر فایل‌های غیرمجاز و تحت شرایط خاص ممکن است به اجرای کد دلخواه منجر شود.
- نمره‌ها: CVSS v3.1 8.8 (HIGH)؛ CVSS v4.0 8.7 (HIGH).

تحلیل مستقل (مختصر)
- دامنهٔ تأثیر: همهٔ آسیب‌پذیری‌ها نیاز به حساب کاربری احرازشده دارند (Network Operator یا Viewer)؛ بنابراین بهره‌برداریِ موفق عموماً مستلزم دسترسی اولیه به رابط برنامه است. با این‌وجود، CVE-2026-101024 به‌خاطر احتمال نوشتن فایل و نمرهٔ بالای CVSS بیشتر نگران‌کننده است و در محیط‌هایی که سرویس با مجوزهای سیستم‌عامل بالا اجرا می‌شود می‌تواند خطر بالایی داشته باشد.
- وضعیت شبکه‌ای: اگر این سامانه در دسترس مستقیم اینترنت باشد یا کاربران با سطح دسترسی کم‌دقت داشته باشند، ریسک افزایش می‌یابد.
- اولویت‌بندی پاسخ: به‌دلیل شدت و قابلیتِ بالقوهٔ اجرای کد، به‌روزرسانی به v2.1.7 باید در اولویت قرار گیرد، به‌ویژه در محیط‌های حساس یا در دسترس از بَرون.

اقدامات پیشنهادی (بر پایهٔ توصیه‌های CISA و اصول عمومی کاهش ریسک)
- به‌سرعت به Satel Netco Design v2.1.7 به‌روزرسانی کنید (توصیهٔ سازنده).
- دسترسی شبکه‌ای به دستگاه‌ها/خدمات کنترل‌شده را محدود کنید؛ از قرار گرفتن مستقیم در معرض اینترنت خودداری کنید و شبکه‌های کنترل را پشت فایروال و ایزوله از شبکه‌های کسب‌وکار قرار دهید.
- برای دسترسی از راه دور از روش‌های امن (مثلاً VPN به‌روز و پیکربندی‌شده) استفاده کنید و فرض نکنید VPN به‌تنهایی کامل محافظت فراهم می‌کند.
- اصل کمترین امتیاز (least privilege) را برای حساب‌ها اجرایی کنید؛ حساب‌های Viewer/Network Operator را فقط به افراد و سرویس‌های نیازمند اختصاص دهید.
- مانیتور و لاگ‌گیری فعالیت‌های غیرعادی، و بررسی پاسخ‌های برنامه برای شناسایی تلاش‌های path-traversal یا ورودی‌های مخرب.
- فرایند مدیریت وصله و تحلیل ریسک برای محیط خود اجرا کنید؛ قبل از اعمال تغییرات مهم، تحلیل اثر (impact analysis) انجام دهید.
- در صورت مشاهدهٔ فعالیت مشکوک، از رویه‌های داخلی خود پیروی کرده و گزارش را به مراجع ذی‌ربط (از جمله CISA در صورت نیاز) ارسال کنید.

یادداشت
اطلاعات این گزارش براساس اطلاعیهٔ CISA Cybersecurity Advisories منتشر شده در تاریخ اعلام‌شده در منبع است. هیچ نشانه‌ای از بهره‌برداری عمومی از این آسیب‌پذیری‌ها تا زمان انتشار منبع گزارش نشده است.