Análises

A CVE-2026-8507 afeta o módulo Crypt::OpenSSL::PKCS12 para Perl, com faixa afetada registrada como versões até a 1.94. O processamento de um arquivo PKCS12 malformado por info() ou info_as_hash() pode provocar escrita de heap fora dos limites, causada por estouro de inteiro com sinal, com potencial de execução remota de código. As duas pontuações CVSS 3.1 registradas são 9.8 e, nas fontes consultadas, não há exploração confirmada.

Foi relatada uma fraqueza de injeção de comando (CWE-77) na função setMacFilterRules da interface de gerenciamento web do firmware Totolink A8000RU versão 7.1cu.643_b20200521. O registro indica que o problema pode ser acionado remotamente e que existe exploit público, com pontuação CVSS 3.1 de 9.8 atribuída pela CNA VulDB. Não há inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida.

Uma falha de injeção de comando (CWE-77) afeta a interface de gerenciamento web do roteador Totolink A8000RU na versão 7.1cu.643_b20200521. O registro indica que a exploração remota é possível e que um exploit público foi divulgado, com pontuação base CVSS 3.1 de 9.8 atribuída pela VulDB. Não há exploração confirmada na natureza nas fontes consultadas, e nenhuma versão corrigida é listada.

A CVE-2026-7251 descreve uma senha codificada no código no servidor VNC do Eppendorf BioFlo 320. Segundo o registro, um atacante remoto que conheça o endereço de rede de um modelo com acesso remoto habilitado poderia obter controle total da interface do usuário. O registro classifica a severidade como crítica (CVSS v3.1 9.8 e CVSS v4.0 9.3), mas não lista versões afetadas, versões corrigidas nem exploração confirmada.

A CVE-2026-39405 afeta o Frappe LMS nas versões 2.50.0 e anteriores. Um usuário com a função de edição de cursos podia enviar um pacote ZIP SCORM para gravar arquivos fora do diretório pretendido, uma falha de path traversal classificada como CWE-22. O registro indica que o problema foi resolvido na versão 2.50.1, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-5118 afeta o plugin Divi Form Builder para WordPress até a versão 5.1.2, inclusive. Segundo o registro, o plugin aceita um valor 'role' controlado pelo usuário durante o cadastro sem validá-lo contra a configuração default_user_role do formulário, o que pode permitir que usuários não autenticados criem contas de administrador. O registro informa pontuação CVSS 3.1 de 9.8 e não há exploração confirmada.

Uma fraqueza de travessia de diretório (CWE-22) no plugin WordPress WebinarIgnition, da Saleswonder Team, permite, segundo o registro, a exclusão arbitrária de arquivos, com versões afetadas listadas até 4.08.253. A Patchstack atribuiu pontuação base CVSS 3.1 de 9.9 (crítica). O registro não mostra inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas.

Uma falha crítica de injeção de comando do sistema operacional na função setFirewallType da interface de gerenciamento web do Totolink A8000RU (firmware 7.1cu.643_b20200521) pode ser acionada remotamente pelo argumento firewallType. O registro informa pontuação CVSS 3.1 de 9.8 e exploit divulgado publicamente, porém nenhuma versão corrigida é listada. Não há exploração ativa confirmada nas fontes consultadas.

A CVE-2026-9543 é uma falha crítica de injeção de comando no sistema operacional na função setPasswordCfg do arquivo /cgi-bin/cstecgi.cgi, na interface de gerenciamento web do Totolink N300RH versão 6.1c.1353_B20190305. Segundo o registro, o argumento admpass pode ser manipulado para executar comandos do sistema remotamente. A CNA VulDB atribuiu pontuação CVSS 3.1 de 9,8 e o exploit foi divulgado publicamente, mas o registro não informa nenhuma correção.

As versões do FACTION anteriores à 1.8.3 permitem que requisições não autenticadas alcancem ações Struts2 e métodos de BoilerPlateConfig que deveriam exigir uma sessão válida. Um atacante poderia ler, sobrescrever, desativar e excluir permanentemente modelos de texto padrão. O GitHub informa pontuação CVSS 3.1 de 9.8, e o registro não indica inclusão no catálogo KEV da CISA nem exploração confirmada.

O OpenMRS Core avalia strings de critérios armazenadas em faixas de referência de conceitos como templates Apache Velocity, sem sandbox, o que o registro classifica como injeção de código (CWE-94). Um usuário com o privilégio Manage Concepts pode armazenar conteúdo de template malicioso que é executado automaticamente durante a validação de observações. A correção está disponível nas versões 2.7.9 e 2.8.6, e o registro não indica inclusão no KEV nem exploração confirmada.

A CVE-2026-6555 afeta o plugin ProSolution WP Client para WordPress nas versões até e incluindo 2.0.0. Segundo o registro, apenas o primeiro arquivo de um array de upload passa por validação de extensão e tipo MIME, enquanto todos os arquivos são gravados em um diretório acessível pela web, o que pode permitir upload arbitrário de arquivos sem autenticação. A CNA classifica como crítica, com pontuação CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.

O módulo Crypt::SaltedHash para Perl, nas versões até 0.09, gera salts com a função embutida rand, que é previsível e inadequada para criptografia. O CNA classifica a falha como Crítica, com pontuação base CVSS 3.1 de 9.1. O registro não traz versões afetadas ou corrigidas em formato estruturado, e não há exploração confirmada nas fontes consultadas.

O Control Network Module (CNM) da Honeywell contém uma falha de injeção de comando (CWE-77) na interface web que pode levar potencialmente à execução remota de código. O registro classifica a severidade como crítica, com pontuação base CVSS 3.1 de 9.1. Os registros listam versões afetadas de 100.1 a 110.2 e nenhuma versão corrigida, e o fabricante recomenda migrar para a versão mais recente.

A CVE-2026-42773 é uma falha de SQL Injection cega (CWE-89) no eMagicOne Store Manager, descrita como afetando versões até a 1.3.2. A Patchstack atribuiu pontuação base CVSS 3.1 de 9.3 (crítica). O registro não informa versão corrigida e não há exploração confirmada nas fontes consultadas.