یک آسیب‌پذیری امنیتی در محصولات ST Engineering iDirect Evolution و Velocity WebServer Evolution (تا نسخه 20260717) شناسایی شده است که به مهاجمان اجازه می‌دهد کاربران را به وب‌سایت‌های خارجی و مخرب هدایت کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-94214 ثبت شده است، در بخش Management Service و به‌طور مشخص در فایل /login.html رخ می‌دهد. مهاجم می‌تواند با دست‌کاری آرگومان Host، یک وضعیت Open Redirect ایجاد کند. این حمله به صورت از راه دور (Remote) قابل اجرا است، اما برای موفقیت، نیاز به تعامل کاربر (User Interaction) دارد؛ به این معنا که قربانی باید روی یک لینک مهندسی شده کلیک کند.
تحلیل اثرات و ریسک
- سطح دسترسی: مهاجم برای اجرای این حمله نیازی به احراز هویت (Unauthenticated) ندارد.
- تاثیرات: این آسیب‌پذیری منجر به عبور از مرزهای اعتماد (Trust Boundary) می‌شود، اما تاثیر آن بر یکپارچگی (Integrity) سیستم پایین است و آسیبی به محرمانگی (Confidentiality) یا در دسترس بودن (Availability) داده‌ها وارد نمی‌کند.
- وضعیت اکسپلویت: کد اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است.
لازم به ذکر است که با وجود اطلاع‌رسانی زودهنگام به سازنده تجهیزات، تا این لحظه هیچ پاسخی از سوی Vendor دریافت نشده است.
