Análises

O IBM Langflow OSS nas versões 1.0.0 até 1.9.3 é afetado pelo CVE-2026-10134, uma falha de injeção de código (CWE-94) com pontuação 10,0 no CVSS 3.1 atribuída pelo CNA. O registro descreve acesso a segredos e dados armazenados, movimentação entre tenants e persistência por meio de flows públicos modificados. Como não há versão corrigida listada no registro, convém consultar o aviso do fornecedor e restringir a exposição até que uma correção seja confirmada.

A CVE-2026-56036 descreve uma injeção de SQL não autenticada (CWE-89) em 워드프레스 결제 심플페이 nas versões até a 5.5.6, inclusive. O registro traz pontuação CVSS 3.1 de 9.3 (crítica) atribuída por audit@patchstack.com, mas não há lista estruturada de versões afetadas ou corrigidas. Nenhuma exploração confirmada aparece nas fontes consultadas.

O Privasys Go, um fork da linguagem Go que adiciona suporte a RA-TLS, apresenta uma falha em certificados RA-TLS no modo challenge anteriores a privasys-v0.5.1-go1.26.5. As quotes de atestação estavam vinculadas à chave do certificado e ao nonce do cliente, mas não à sessão TLS ativa, o que permite retransmitir uma quote genuína para outra conexão. O registro classifica a severidade como crítica, com pontuação CVSS 4.0 de 9.1, e não consta na lista KEV.

Uma falha de injeção de SQL não autenticada (CWE-89) afeta o wpDataTables na versão 7.4 e anteriores, conforme o registro. A CNA Patchstack atribuiu nota 9.3 (crítica) pelo CVSS 3.1. O registro não informa versão corrigida e não há exploração confirmada nas fontes consultadas.

Uma fraqueza de injeção de objeto PHP (CWE-502) no plugin BuddyBoss Platform para WordPress afeta versões até a 3.0.4, conforme o registro. A CNA Patchstack atribuiu pontuação 9.8 (crítica) pelo CVSS 3.1, mas a descrição menciona o perfil Subscriber enquanto o vetor indica que nenhum privilégio é exigido, ponto ainda não esclarecido. Não há versão corrigida nem lista estruturada de versões afetadas nas fontes consultadas, por isso convém confirmar a versão instalada com o fornecedor ou a Patchstack.

A CVE-2026-46386 afeta a imagem Docker oficial openproject/openproject, que, segundo o registro, distribui um valor padrão de chave secreta do Rails. Combinada com a serialização Marshal em cookies, o registro descreve um caminho para desserialização insegura acessível a qualquer usuário autenticado. A CNA classifica a falha com 9,9 (CVSS 3.1, crítica), mas o registro não traz versões afetadas nem corrigidas.

Os PLCs Delta Electronics DVP12SE são suscetíveis ao CWE-770, alocação de recursos sem limites ou controle de taxa, em seu serviço Modbus TCP. O registro traz pontuação CVSS 4.0 base 9.3 (crítica) fornecida pelo CNA, com vetor de ataque pela rede e sem necessidade de privilégios ou interação do usuário. A vulnerabilidade não consta no catálogo KEV da CISA, nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não lista versões afetadas nem correções.

A CVE-2026-56067 descreve uma falha de injeção de SQL sem autenticação no JetSmartFilters nas versões até 3.8.3, inclusive. A CNA audit@patchstack.com atribuiu pontuação CVSS 3.1 de 9.3 (crítica) e o registro associa o problema ao CWE-89. O registro não traz versão corrigida nem lista estruturada de versões afetadas, e a falha não consta no catálogo KEV da CISA.

A CVE-2026-54831 é uma falha de injeção de SQL não autenticada no plugin WordPress GeoDirectory, que afeta versões até a 2.8.162 inclusive, segundo o registro. A CNA Patchstack atribuiu pontuação CVSS 3.1 de 9.3 (Crítica), com vetor de rede e sem necessidade de privilégios. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida.

A CVE-2026-48281 é uma falha crítica de Validação de Entrada Inadequada (CWE-20) no Adobe ColdFusion que, segundo o registro, pode permitir execução arbitrária de código no contexto do usuário atual. A pontuação base CVSS 3.1 é 10.0, com vetor de rede, sem necessidade de privilégios ou interação do usuário e com escopo alterado. O registro não mostra inclusão no catálogo KEV da CISA nem versão corrigida, por isso o aviso do fabricante APSB26-68 deve ser consultado para a remediação.

A CVE-2026-56028 afeta o plugin Easy Elements for Elementor – Addons & Website Templates para WordPress, nas versões até a 1.4.9 inclusive. A CNA Patchstack descreve uma escalada de privilégios sem autenticação, com pontuação base 9.8 (crítica) no CVSS 3.1. As fontes consultadas não indicam versões corrigidas, e a CVE não consta no catálogo KEV da CISA.

O registro descreve uma falha de upload arbitrário de arquivo (CWE-434) no plugin Quform para WordPress, nas versões até a 2.23.0 inclusive, acessível a usuários com perfil Subscriber. A CNA Patchstack atribuiu pontuação CVSS 3.1 9.9 (crítica). O registro não traz versão corrigida estruturada nem exploração confirmada.

A CVE-2026-11720 é uma falha de travessia de diretório no construtor de URL de ferramentas HTTP do Google MCP Toolbox for Databases, em que sequências de ponto em parâmetros de caminho são normalizadas durante a resolução da URL. O registro indica como faixa afetada as versões anteriores à 1.3.0 e aponta um pull request de correção, com severidade crítica pelo CVSS 3.1. A CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

O Budibase anterior à versão 3.39.9 permite que um builder com acesso ao workspace envie um .zip cujas entradas de ícone sejam links simbólicos, levando o servidor a ler arquivos que o processo consegue abrir e a publicá-los por meio de um endpoint de assets. O registro classifica a severidade como crítica (CVSS 3.1, pontuação base 9.6), com impacto alto de confidencialidade e integridade. Não há inclusão no KEV nem exploração confirmada nas fontes consultadas, e o registro indica que a correção está na versão 3.39.9.

As versões 8.6.1.0 até 8.6.1.6 do IBM WebSphere eXtreme Scale são afetadas por uma falha de server-side request forgery acionada durante a desserialização Java. O registro indica que ela pode ser encadeada com outra falha do ORB da IBM para chegar à execução remota de código, e a NVD a classifica como crítica. Nenhuma exploração confirmada aparece nas fontes consultadas.