Análises

As versões do SOCFortress CoPilot anteriores à 0.1.57 usam, como alternativa, um segredo de assinatura JWT fixo no código quando JWT_SECRET não está definido, inclusive na configuração padrão do Docker Compose. Segundo o registro, um atacante não autenticado poderia usar esse valor publicamente conhecido para forjar tokens com escopo de administrador e controlar a aplicação. A falha está corrigida na 0.1.57, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-45408 afeta versões do Dokku anteriores à 0.38.2. A validação do nome do app permite metacaracteres de shell e um usuário autenticado que faz push para um remoto git com um nome elaborado pode executar comandos arbitrários como o usuário dokku. O registro informa correção na versão 0.38.2 e pontuação CVSS 3.1 igual a 9.

A IBM divulgou o CVE-2026-7663 no Langflow OSS, nas versões 1.0.0 até 1.9.6, em que a aplicação inadequada de autorização no endpoint de transporte Streamable MCP pode permitir acesso não autenticado a recursos de projetos MCP protegidos. A NVD atribui nota 9.8 (CVSS 3.1, crítica) e a IBM atribui 9.1. Nenhuma exploração confirmada nem versão corrigida aparece nas fontes consultadas.

A Apple corrigiu uma falha de validação de entrada imprópria (CWE-20) em iOS, iPadOS, macOS, tvOS, visionOS e watchOS. O CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9.1, e a descrição indica possível encerramento inesperado do sistema ou corrupção da memória do kernel. Nas fontes consultadas não aparece exploração ativa confirmada.

A CVE-2026-56070 descreve uma injeção de SQL não autenticada no Advance Product Search nas versões menores ou iguais a 1.4.4, classificada como CWE-89. O CNA audit@patchstack.com atribuiu pontuação base CVSS 3.1 de 9.3 (crítica), com vetor de rede e sem necessidade de privilégios ou interação do usuário. O registro não informa versão corrigida nem lista de produtos afetados, e a falha não consta no catálogo KEV da CISA.

As versões do Booster for WooCommerce até a 8.0.1, inclusive, apresentam uma falha de upload arbitrário de arquivos acessível pela funcionalidade de clientes, classificada como CWE-434. A CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9.9. O registro não informa versão corrigida e não mostra inclusão no catálogo KEV nem exploração confirmada.

Um problema relatado no DokuWiki 2025-05-14b "Librarian" 56.2 permite que um atacante remoto crie uma conta pela função de registro em inc/auth.php. O registro de CNA classifica como crítico, com pontuação CVSS 3.1 de 9.8, mas o fornecedor contesta o relato, afirmando que o comportamento é intencional quando o autorregistro está habilitado, configuração não padrão. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-42882 afeta o oxyno-zeta/s3-proxy anteriores à versão 5.0.0. O middleware de autenticação e o bucket handler interpretam o mesmo caminho de requisição de forma diferente, o que pode permitir que atacantes não autenticados com acesso à rede alcancem namespaces S3 protegidos. O registro informa pontuação CVSS 3.1 de 9.4 e correção na versão 5.0.0; nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-49048 afeta a extensão JoomCCK para Joomla, da Joomcoder, em que uma tarefa do controlador front-end concatena um parâmetro de requisição fornecido pelo usuário em duas instruções SQL, sem escape ou parametrização. A CNA informa pontuação CVSS 3.1 de 9.8 (crítica) e pontuação 4.0 de 8.7. Não há exploração confirmada nas fontes consultadas, e o registro não lista versão corrigida.

A IBM publicou a CVE-2026-7873, uma falha crítica de injeção de código (CWE-94) no Langflow OSS nas versões 1.0.0 a 1.10.0, com pontuação base CVSS 3.1 de 9,9 atribuída pelo PSIRT da IBM. Segundo o registro, um atacante autenticado pode executar comandos no sistema operacional e ler arquivos sensíveis, incluindo credenciais. O registro não lista versão corrigida nem inclusão no catálogo KEV da CISA.

A IBM divulgou uma vulnerabilidade de falsificação de requisição do lado do servidor (SSRF) no WebSphere Application Server Liberty nas versões 17.0.0.3 até 26.0.0.7 quando o recurso adminCenter-1.0 está habilitado. O NVD atribui pontuação CVSS 3.1 de 9.8 (crítica), enquanto o PSIRT da IBM aparece com 7.1 no registro. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.

A CVE-2026-11708 é uma falha de cross-site scripting (XSS) no sistema de ajuda integrado do console administrativo do IBM WebSphere Application Server 8.5 e 9.0. O registro do CNA da IBM atribui pontuação CVSS 3.1 de 9.3 (Crítica), com necessidade de interação do usuário. As fontes consultadas não mostram inclusão no catálogo KEV da CISA nem exploração confirmada, e o registro não lista uma versão corrigida explícita.

A CVE-2026-13763 é uma falha crítica no Amazon Application Load Balancer com o AWS WAF habilitado, em que a interpretação inconsistente de requisições HTTP/2 pode permitir que atores remotos contornem a inspeção do corpo das regras gerenciadas. O CNA informa CVSS 3.1 9.8 e CVSS 4.0 7.9, e afirma que apenas grupos de destino HTTP/2 do ALB são afetados. A AWS indica a configuração "Inspect after sufficient data" no grupo de destino como caminho de remediação, e não há exploração confirmada nas fontes consultadas.

Uma falha de SQL Injection não autenticada (CWE-89) afeta o Quotes llama nas versões até 3.1.5 inclusive. O CNA Patchstack classificou a severidade como crítica, com pontuação CVSS 3.1 de 9.3. O registro não indica inclusão no catálogo CISA KEV nem versão corrigida.

A CVE-2026-56034 descreve uma injeção de SQL não autenticada no Library Management System nas versões até 3.5.7 inclusive, classificada como CWE-89. A CNA, Patchstack, atribuiu pontuação CVSS 3.1 de 9.3 (Crítica), mas o registro não traz versão corrigida nem dados estruturados de versões afetadas. Não há exploração confirmada nas fontes consultadas.