Análises

A IBM divulgou uma falha crítica no modo de voz do Langflow OSS 1.0.0 até 1.10.0, em que clientes de API são reutilizados entre limites de tenants. Um atacante autenticado pode manipular o estado do cache para que requisições de outros usuários usem credenciais incorretas de API upstream, causando faturamento e atribuição de responsabilidade incorretos. O registro não lista versão corrigida nem exploração confirmada.

Uma falha no analisador de introspecção D-Bus do GLib, acessado pela função g_dbus_node_info_new_for_xml(), pode ser acionada por XML malformado que aninha um elemento node dentro de elementos method, signal, property ou arg. Segundo o registro, isso causa estouro de inteiro sem sinal e leitura fora dos limites, resultando em negação de serviço. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-48277 é uma fraqueza de Validação Imprópria de Entrada (CWE-20) no Adobe ColdFusion, descrita como capaz de permitir execução arbitrária de código no contexto do usuário atual, sem interação do usuário. O CNA classifica como crítica, com pontuação CVSS 3.1 base de 10. Ela não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

O Apache Tomcat é afetado por uma fraqueza CWE-390 (Detecção de Condição de Erro Sem Ação) na configuração de listas de certificados revogados (CRLs) de um conector baseado em FFM. O registro atribui pontuação CVSS 3.1 de 9.1 (crítica) e lista faixas afetadas em três ramos de versão, com correções nas versões 11.0.23, 10.1.56 e 9.0.119. Nenhuma exploração confirmada aparece nas fontes consultadas.

O Raytha CMS apresenta uma falha de injeção de SQL (CWE-89) no pipeline de análise de filtros OData que, segundo o CERT Polska, pode ser explorada remotamente sem autenticação. O CNA atribui pontuação base CVSS 4.0 de 9.3 e informa confirmação na versão 1.5.2, podendo afetar outras versões. Nenhuma correção do fornecedor consta nas fontes consultadas, e a CVE não está listada no catálogo KEV da CISA.

A CVE-2026-58053 afeta o act_runner do Gitea quando utiliza o backend Docker. Segundo o registro, opções presentes na string container.options de um workflow, como acesso ao namespace de PID do host e capacidades adicionais, podem continuar sendo aplicadas mesmo com privileged definido como false, o que pode permitir que um usuário capaz de executar workflows obtenha root no host. O CNA informa pontuação crítica no CVSS 3.1, a CVE não consta no catálogo KEV da CISA e não foi identificada exploração confirmada nas fontes consultadas.

A CVE-2026-53309 é um erro off-by-one no código ocfs2/DLM do kernel Linux, na função dlm_match_regions(), em que um loop que compara regiões locais e remotas lê uma entrada além do intervalo válido. O CNA atribuiu nota 9.8 (crítica) no CVSS 3.1, mas o registro não descreve as consequências da leitura fora dos limites, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-52782 afeta versões do OpenProject anteriores a 17.3.3 e 17.4.1. Segundo o registro, um administrador de projeto pode reatribuir a pasta gerenciada de outro projeto no mesmo armazenamento Nextcloud ou OneDrive, e a sincronização seguinte aplica a lista de usuários do projeto atacante a essa pasta. O CNA classificou como crítica, com pontuação CVSS 3.1 de 9.9, e a falha não consta no catálogo KEV da CISA.

O OpenBMB ChatDev até a versão 2.2.0 apresenta uma falha de path traversal (CWE-22) no tratamento de uploads, em que o caminho de destino é montado a partir do nome de arquivo multipart sem sanitização. Segundo o registro, atores remotos sem autenticação podem gravar ou excluir arquivos arbitrários no servidor, e a correção é indicada pelo commit 4fd4da6. Nas fontes consultadas não há exploração confirmada na natureza.

Um chamador anônimo pode contornar o filtro de autenticação da API REST do Kestra usando um caminho que termina em configs, o que permite criar e executar flows com tarefas Shell ou Process sem autenticação. O registro classifica a falha como crítica, com CVSS 3.1 de 10.0, e informa correção nas versões 1.0.45 e 1.3.21. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.

A CVE-2026-12415 afeta o plugin Invoice Generator para WordPress nas versões até e incluindo 1.0.0. Uma verificação de capacidade ausente em uma ação AJAX permite que usuários não autenticados alterem o endereço de e-mail de qualquer conta, incluindo administradores. A CNA Wordfence classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-8402 é uma falha crítica de injeção de SQL (CWE-89) no Eksagate SYSGUARD 6001 que, segundo o registro, permite SQL injection cega. O CNA USOM atribuiu pontuação base CVSS 3.1 de 9,8. Segundo a nota, o fornecedor informou que o produto não é suportado, o que pode significar que não há versão corrigida disponível.

A CVE-2026-53690 é uma falha de injeção de SQL no Redeight CMS versão 1.0. O campo userEmail da requisição POST de login em /admin/index.php é inserido em consultas SQL sem sanitização nem prepared statements. O CNA cvd@cert.pl atribui nota 9.3 no CVSS 4.0, e o registro não indica exploração confirmada.

A CVE-2026-56068 é uma injeção de SQL não autenticada (CWE-89) no plugin JetEngine para WordPress, que afeta versões até a 3.8.10.2 inclusive. A CNA Patchstack atribuiu pontuação CVSS 3.1 de 9.3 (Crítica), mas as fontes consultadas não informam uma versão corrigida. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-10109 afeta o IBM Db2 nas versões 11.5.0 até 11.5.9 e 12.1.0 até 12.1.4. A falha permite execução remota de código por tratamento inadequado do handshake DRDA antes da autenticação, classificada como crítica com pontuação CVSS 3.1 de 9,8. O registro não lista versões corrigidas, por isso recomenda-se consultar o aviso da IBM e priorizar o inventário e a redução de exposição.