Análises

A CVE-2026-52785 é uma falha crítica de injeção de SQL na funcionalidade de timestamps do OpenProject, aplicação open-source de gestão de projetos acessada via web. Segundo a descrição, versões anteriores à 17.3.3 e à 17.4.1 são afetadas, e a correção está presente nas versões 17.3.3 e 17.4.1. As fontes consultadas não confirmam exploração ativa.

A CVE-2026-13776 é uma falha de confusão de tipo no Dawn, presente no Google Chrome anterior à versão 150.0.7871.47. Segundo o registro, um atacante remoto que já tivesse comprometido o processo de renderização poderia potencialmente escapar do sandbox por meio de uma página HTML criada para esse fim. A NVD atribui pontuação base CVSS 3.1 de 9.8, e o registro não indica inclusão no catálogo KEV da CISA.

O CVE-2026-54820 é uma injeção de SQL não autenticada (CWE-89) no JetBooking nas versões até a 4.0.4.1, conforme descrito pelo CNA Patchstack. O CNA atribuiu pontuação base CVSS 3.1 de 9.3 (crítica). O registro não traz dados estruturados de versões afetadas ou corrigidas, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-12411 é uma falha de quebra de controle de acesso no componente devLXDInstancePatchHandler do Canonical LXD, que o registro indica afetar versões a partir da 6.6 até a anterior à 6.9. Quando uma configuração específica está habilitada, um convidado não confiável pode conseguir montar, ler e sobrescrever o volume de armazenamento personalizado de outro convidado. A NVD atribui nota 9.6 (crítica) e a CNA Ubuntu atribui 8.4; o CISA KEV não a lista e nenhuma exploração confirmada aparece nas fontes consultadas.

O Coolify, ferramenta autohospedável para gerenciar servidores e aplicações, apresenta uma falha de autorização entre equipes em vários componentes Livewire da interface web. Esses componentes aceitam identificadores de servidor e de destino por parâmetros de URL sem verificar a propriedade da equipe, o que permite implantar recursos entre equipes. A fonte GitHub Security Advisories classifica o problema como crítico (CVSS 3.1, pontuação base 9,6), a correção está na versão 4.0.0-beta.474 e nenhuma exploração confirmada aparece nas fontes consultadas.

A IBM divulgou a CVE-2026-10560, uma falha de falta de autenticação no IBM Langflow OSS nas versões 1.0.0 até 1.9.6. Segundo o registro, uma parte não autenticada pode ler dados de eventos de build ou cancelar jobs quando conhece um identificador de job válido, o que leva a divulgação de informações e negação de serviço. O NVD classifica como crítica com pontuação CVSS 3.1 de 9.1, enquanto a própria IBM publica 8.2.

A CVE-2026-9711 é uma falha crítica de SQL Injection (CWE-89) no plugin de calendário de eventos virtuais EventON para WordPress, que afeta as versões até, e incluindo, 5.0.11. O registro indica que um atacante não autenticado pode alcançar o banco de dados pelo parâmetro 'search' quando a configuração 'Enable additional search queries' está habilitada e existe pelo menos um evento publicado. O registro não aponta exploração confirmada nem inclusão no catálogo KEV, e também não informa a versão corrigida.

A IBM divulgou a CVE-2026-7803, que afeta o Langflow OSS nas versões 1.0.0 até 1.10.0. A falha decorre da validação inadequada de nós de fluxo com campos de tipo de componente ausentes ou vazios, o que pode permitir execução arbitrária de código. O registro atribui pontuação CVSS 3.1 de 9,8 e não lista versão corrigida, então os administradores devem consultar o aviso da IBM e reduzir a exposição enquanto isso.

As versões do Wizarr anteriores à 2026.9.1 avaliam o Markdown dos passos do assistente em um ambiente de template não isolado, de modo que um usuário autenticado que pode criar passos, ou um administrador que importe um pacote não confiável, pode conseguir executar Python arbitrário. O registro descreve possível execução de comandos do sistema operacional, divulgação da chave secreta do Flask e de credenciais de serviços conectados, além de cross-site scripting armazenado. O problema está corrigido na versão 2026.9.1, e nenhuma exploração confirmada aparece nas fontes consultadas.

O IBM Business Automation Manager Open Editions é afetado por uma falha de injeção de entidade externa XML (XXE) que um atacante remoto poderia explorar para expor informações sensíveis ou consumir memória. O NVD atribui pontuação 9,1 (crítica) no CVSS 3.1, enquanto a CNA IBM atribui 7,6. O registro não traz versão corrigida nem indício de exploração confirmada no catálogo KEV da CISA.

A CVE-2026-56059 é uma vulnerabilidade crítica de upload arbitrário de arquivo no Travel Booking, que afeta versões até a 2.2.5 inclusive, segundo a Patchstack. A CNA atribui pontuação CVSS 3.1 de 9,9 e a classificação CWE-434, e o registro indica que basta privilégio de Subscriber. O registro não informa versão corrigida e não há exploração confirmada nas fontes consultadas.

A CVE-2026-37637 é uma fraqueza de injeção de código (CWE-94) registrada no Alexantr filemanager v1.0, no componente filemanager.php, que segundo o registro permite a um atacante remoto executar código arbitrário. A pontuação CVSS 3.1 do registro é 9.1 (Crítica), mas não há dados de versões afetadas ou corrigidas. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-13775 é uma falha de use-after-free no componente GPU do Google Chrome anterior à versão 150.0.7871.47. Segundo o registro, um atacante que já tivesse comprometido o processo renderer poderia, potencialmente, escapar da sandbox por meio de uma página HTML elaborada. O NVD atribui pontuação CVSS 3.1 de 9.8 (Crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-56033 descreve um problema de escalonamento de privilégios não autenticado no Dokan Pro nas versões até a 5.0.4, classificado como CWE-266. A CNA Patchstack atribui pontuação CVSS 3.1 de 9.8 (crítica). O registro não traz versões afetadas ou corrigidas estruturadas, e a CVE não consta no catálogo KEV da CISA.

A IBM divulgou uma vulnerabilidade de cross-site scripting no sistema de ajuda do console administrativo do WebSphere Application Server 8.5 e 9.0. O CNA classifica a severidade como crítica, com pontuação base CVSS 3.1 de 9.3, e o registro lista intervalos afetados abaixo de 8.5.5.31 e 9.0.5.29. Nenhuma exploração confirmada aparece nas fontes consultadas, e o CVE não está no catálogo KEV da CISA.