Análises

O Ocelot até a versão 24.1.0 contém um bypass de controle de acesso em que clientes negados por regras baseadas em IP conseguem alcançar serviços downstream ao enviar requisições de upgrade WebSocket. O registro associa o problema a um ramo MapWhen que omite o SecurityMiddleware e cita o commit de correção f156fd4. Nenhuma exploração confirmada aparece nas fontes consultadas.

O IBM WebSphere Application Server Liberty apresenta uma falha de server-side request forgery quando o recurso apiDiscovery-1.0 está habilitado. A NVD classifica como crítica, com pontuação CVSS 3.1 de 9,8, enquanto a IBM PSIRT informa 8,5. O registro não mostra inclusão no KEV da CISA nem exploração confirmada nas fontes consultadas.

O Gorse anterior à versão 0.5.10 deixa os endpoints /api/dump e /api/restore sem autenticação quando admin_api_key está vazio, configuração padrão do produto. Um atacante remoto não autenticado poderia obter o banco de dados completo, com registros de usuários e feedbacks contendo dados pessoais, ou sobrescrever o conjunto de dados. O registro classifica a falha como crítica, com CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-58449 afeta o txtai até a versão 9.10.0, em que o endpoint /reindex da API resolve um caminho pontilhado fornecido pelo chamador sem lista de permissões. Sob as condições descritas (API exposta, sem TOKEN configurado e índice gravável), o registro descreve execução remota de código como processo do servidor; a correção indicada é o commit 11b32da, que restringe o endpoint por trás de uma nova flag de configuração de reindexação.

A CVE-2026-42864 afeta a aplicação de gestão de incidentes FireFighter antes da versão 0.0.54. Um endpoint do bot Jira aceita requisições sem autenticação e busca URLs fornecidas pelo chamador a partir do servidor, o que pode expor credenciais temporárias de nuvem em alguns deployments AWS. O registro informa que a correção está na versão 0.0.54 e atribui pontuação CVSS 3.1 de 9.9, classificada como crítica.

A CVE-2026-0685 é uma falha de injeção de template do lado do servidor (SSTI) no componente de avaliação de expressões do Genshi Template Engine 0.7.9 que, segundo o registro, permite execução remota de código por meio de expressões de template criadas de forma maliciosa. O registro traz pontuação CVSS 3.1 de 9.8 (Crítica), mas não lista faixas de versões afetadas nem versões corrigidas, e nas fontes consultadas não aparece exploração confirmada.

A Mozilla divulgou falhas de segurança de memória no Firefox 152.0.3, algumas com indícios de corrupção de memória. O registro informa que foram corrigidas no Firefox 152.0.4, e o NVD atribui pontuação base CVSS 3.1 de 9,8 com CWE-787. Administradores devem confirmar que todas as instalações estão na versão corrigida.

As versões do @fastify/express até a 4.0.6 não aplicam o prefixo do plugin a caminhos de montagem de middleware informados como arrays ou expressões regulares. Middlewares com escopo em rotas dentro de plugins com prefixo podem, assim, ser ignorados, o que o registro descreve como contorno de controles de autenticação, autorização, limitação de taxa ou auditoria. O registro indica a versão 4.0.7 como correção e não há exploração confirmada nas fontes consultadas.

O CVE-2026-56030 é registrado como um problema de escalonamento de privilégios não autenticado (CWE-266) nas versões do Paytium até a 5.0.2, inclusive. A pontuação CVSS 3.1 de 9.8 (Crítica) foi atribuída pelo CNA, e o registro não informa uma versão corrigida. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-57658 descreve uma falha de upload arbitrário de arquivo, exigindo privilégios de administrador, no TemplateSpare nas versões até a 4.2.0 inclusive, relatada pela Patchstack e classificada como CWE-434. O CNA atribuiu pontuação CVSS 3.1 base de 9.1 (crítica). O registro não indica inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas, e não traz versão corrigida estruturada.

A IBM publicou o CVE-2026-11541 em 30/06/2026 para uma falha de contrabando de requisições HTTP (CWE-444) que afeta o IBM WebSphere Application Server e o WebSphere Application Server Liberty. O NVD classifica a vulnerabilidade como crítica, com nota 9.8 no CVSS 3.1, enquanto a pontuação da própria IBM no registro é 7.4. O registro não informa versões corrigidas e não há exploração confirmada nas fontes consultadas.

Um cliente DCMTK que usa o modo de armazenamento bit-preserving com C-GET pode ser levado por um servidor malicioso ou comprometido a gravar arquivos fora do diretório de saída escolhido. A fraqueza é classificada como CWE-22 (Path Traversal) e tem pontuação 9.8 no CVSS 3.1 e 9.3 no CVSS 4.0, atribuída pelo CNA. Não aparece exploração confirmada nas fontes consultadas, e o registro não lista versões afetadas nem corrigidas.

Uma falha crítica no motor Object Query Language do IBM WebSphere Extreme Scale, versões 8.6.1.0 a 8.6.1.6, permite que nomes de classes influenciados externamente sejam instanciados sem lista de permissão. A NVD atribui 9,9 (CVSS 3.1) e o CNA da IBM informa 7,5. O registro não mostra inclusão no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-57331 é uma falha crítica de exclusão arbitrária de arquivos no plugin Paid Videochat Turnkey Site, descrita como afetando versões até 7.4.8 inclusive. A CNA Patchstack atribuiu pontuação 9.9 no CVSS 3.1 e classificou a falha como path traversal (CWE-22). O registro não indica inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas, e não lista versão corrigida.

As versões do Budibase anteriores à 3.39.9 contêm uma fraqueza de mass assignment (CWE-915) no endpoint de gatilho de webhook, acessível publicamente, que repassa o corpo completo da requisição para os parâmetros da automação. Segundo o registro, um atacante pode sobrescrever a propriedade interna appId e fazer uma automação processada de forma assíncrona rodar no workspace de uma vítima. O aviso do fabricante indica que o problema foi corrigido na versão 3.39.9.