Análises

Versões do CubeCart anteriores à 6.7.0 apresentam uma falha de injeção de template no lado do servidor, exigindo autenticação, em diversos módulos como modelos de e-mail, faturas, documentos e formulários de contato. A entrada fornecida pelo usuário é avaliada pelo mecanismo Smarty sem as políticas de segurança do Smarty habilitadas, o que pode permitir que um usuário com privilégios administrativos execute comandos no sistema operacional do servidor. O registro indica que a correção está na versão 6.7.0, e o aviso do GitHub classifica a severidade como 9.1 (crítica) no CVSS 3.1.

As versões do soundcloud-rpc anteriores à 0.1.8 renderizam títulos de faixas do SoundCloud como HTML bruto em views do Electron com integração Node.js habilitada, o que pode levar à execução de comandos na máquina do usuário. O registro classifica a falha como crítica, com pontuação CVSS 3.1 de 9.6, e informa que ela está corrigida na 0.1.8. As fontes consultadas não mostram exploração confirmada, e a CVE não consta no catálogo CISA KEV.

Versões do Cleanuparr anteriores à 2.9.10 usam a entrada mais à esquerda do cabeçalho X-Forwarded-For para definir o IP do cliente quando o modo de rede confiável por reverse proxy está ativo, valor que o cliente remoto controla. Isso permite que um atacante remoto não autenticado seja autenticado como administrador. O registro classifica a falha como crítica (CVSS 3.1, pontuação 9.8), informa correção na 2.9.10 e não consta no catálogo KEV da CISA.

Versões do HRConvert2 anteriores à 3.3.8 não removem crases e tabulações na função sanitizeString(), permitindo que nomes de arquivo fornecidos pelo usuário cheguem ao shell_exec() e causem execução de comandos. O CNA GitHub atribui pontuação 9.3 no CVSS 4.0, e o registro não indica inclusão no catálogo KEV da CISA. A atualização para a 3.3.8 é a correção indicada nas fontes.

A CVE-2026-41050 é uma falha crítica de autorização incorreta (CWE-863) no deployer Helm do Fleet, que não aplicou totalmente a impersonação de ServiceAccount em dois caminhos de código. Segundo o registro, um tenant com acesso de push a um repositório Git monitorado pelo Fleet poderia ler secrets de qualquer namespace em cada cluster downstream alvo do seu GitRepo. A SUSE, como CNA, atribuiu nota 9.9 pelo CVSS 3.1, a CVE não consta no KEV e o registro não lista versões corrigidas.

A CVE-2026-13852 é uma falha de validação inadequada de entrada no componente WebAppInstalls do Google Chrome para Android, que afeta versões anteriores à 150.0.7871.47 segundo a descrição do registro. A pontuação CVSS 3.1 de 9.1 aparece em duas fontes, mas o vetor de rede não coincide com a descrição de um atacante local. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-13782 é um use-after-free no componente Browser do Google Chrome, classificado como CWE-416. Segundo o registro, um atacante remoto que já tivesse comprometido o processo renderer poderia, potencialmente, escapar do sandbox por meio de uma página HTML criada para isso. A descrição indica correção na versão 150.0.7871.47, e não há exploração confirmada nas fontes consultadas.

As versões 0.1.2b e anteriores do FearlessCMS permitem que um administrador autenticado aponte o atualizador do sistema para um repositório Git arbitrário, cujo conteúdo é instalado sem verificação. Segundo a descrição, isso pode levar à execução de PHP arbitrário e à persistência como backdoor. A correção está disponível na versão 0.1.3b.

Uma falha de use-after-free no recurso Journeys do Google Chrome, descrita como afetando versões anteriores à 150.0.7871.47, poderia permitir que um atacante remoto que já tenha comprometido o processo renderer tente uma fuga do sandbox por meio de uma página HTML criada. O registro atribui pontuação 9.6 (crítica) pelo CVSS e classifica a falha como CWE-416. O registro não mostra inclusão no KEV e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-13882 é uma condição de corrida (CWE-362) no componente USB do Google Chrome anterior à versão 150.0.7871.47. Segundo o registro, um atacante remoto que já tenha comprometido o processo renderer poderia, potencialmente, escapar do sandbox por meio de uma página HTML elaborada. O CNA e o CISA-ADP informam pontuação CVSS 3.1 de 9.6, enquanto o projeto Chromium classifica a severidade como média.

O marketplace comunitário Bazaar do SiYuan exibe os campos name e version dos manifestos de pacotes na interface de Configurações sem escape de HTML, o que permite cross-site scripting. O CNA classifica o problema como crítico, com pontuação base CVSS 3.1 de 9. As fontes indicam que a correção está na versão 3.7.0, e o registro não o lista no catálogo KEV da CISA.

A CVE-2026-44257 afeta versões do efw4.X anteriores à 4.08.010, nas quais a rotina de extração de arquivos zip não valida se os caminhos extraídos permanecem dentro do diretório de destino. Segundo o registro, um atacante remoto sem credenciais poderia gravar arquivos fora da pasta prevista e, potencialmente, executar comandos com o usuário de serviço do Tomcat. A pontuação base CVSS 4.0 registrada é 9.3 e a vulnerabilidade não consta no catálogo KEV da CISA.

A CVE-2026-13861 é um use-after-free (CWE-416) no componente Core do Google Chrome. Segundo a descrição, um atacante remoto que já tenha comprometido o processo renderizador pode, potencialmente, escapar do sandbox por meio de uma página HTML criada para esse fim. A pontuação CVSS 3.1 de 9.6 é informada pelo CNA e pelo CISA-ADP, e o registro não indica inclusão no KEV nem exploração confirmada nas fontes consultadas.

A CVE-2026-13859 afeta versões do Google Chrome anteriores à 150.0.7871.47 e decorre de uma implementação inadequada no componente gráfico ANGLE. Um atacante remoto poderia, potencialmente, escapar do sandbox do navegador por meio de uma página HTML elaborada. O registro indica pontuação CVSS 3.1 de 9.6 (crítica) e gravidade de segurança Média no Chromium, sem inclusão no KEV e sem exploração confirmada nas fontes consultadas.

A CVE-2026-44196 é um bypass de autenticação crítico no Pingvin Share X, plataforma de compartilhamento de arquivos auto-hospedada, descrito como afetando as versões de 1.14.1 até 1.16.2. Segundo o registro analisado, um atacante que já possui usuário e senha válidos pode pular a exigência de TOTP como segundo fator. A correção está na versão 1.16.3, e nas fontes consultadas não há exploração confirmada.