Análises

A CVE-2026-48286 é uma falha de autorização incorreta (CWE-863) no Adobe Campaign Classic (ACC) 7.4.3 build 9396 e versões anteriores, que, segundo o registro, poderia permitir execução arbitrária de código no contexto do usuário atual. O CNA classifica como crítica, com pontuação CVSS 3.1 de 10 e sem necessidade de interação do usuário. Não há exploração confirmada nas fontes consultadas, e o registro não indica versão corrigida.

A CVE-2026-13762 é uma vulnerabilidade crítica (pontuação base CVSS 3.1 de 9,8, conforme publicada pelo CNA) no Amazon CloudFront com AWS WAF habilitado. Requisições HTTP/2 elaboradas, que fragmentam o corpo entre frames, podem levar a inspeção do corpo pelas regras gerenciadas do WAF a analisar apenas uma parte dele. A fonte informa que a correção foi aplicada do lado do servidor e que não é necessária nenhuma ação do cliente.

A CVE-2026-13751 é uma fraqueza de server-side request forgery (CWE-829) no Snowflake CLI nas versões a partir de 1.1.0 e anteriores à 3.19. As diretivas !source e !load do leitor de instruções SQL podem buscar URLs remotas sem restrição suficiente quanto ao destino, e o registro indica que a correção está na versão 3.19. A NVD classifica a vulnerabilidade com 9.6 (crítica) no CVSS 3.1, mas o registro não traz exploração confirmada.

A IBM divulgou a CVE-2026-7874, que afeta o Langflow OSS da versão 1.0.0 até a 1.10.0. Segundo o registro, a proteção de dados em repouso usa um mecanismo de derivação de chave fraco e reversível, o que poderia permitir a divulgação de todas as credenciais armazenadas. O registro indica pontuação CVSS 3.1 de 9.1 (Crítica), e não há exploração confirmada nas fontes consultadas.

O plugin ProfileGrid para WordPress, em todas as versões até a 5.9.9.5 inclusive, não valida um parâmetro nos formulários de registro e trata mal as mensagens de erro. Um atacante não autenticado poderia alterar o e-mail da conta com ID 1, geralmente de administrador, e usar isso para redefinir a senha. A pontuação CVSS 3.1 é 9.8 (Crítica), e nenhuma versão corrigida é identificada no registro disponível.

O Apache Tomcat omite funções especiais e restrições de autorização vazias ao registrar o web.xml efetivo, uma falha CWE-670. O CNA classifica como crítica, com CVSS 3.1 de 9.1, e recomenda atualizar para as versões corrigidas de cada ramo afetado. O registro não aponta inclusão no KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-48283 afeta o Adobe ColdFusion nas versões 2025.9, 2023.20 e anteriores, e está classificada como CWE-434 (Upload Irrestrito de Arquivo com Tipo Perigoso). O registro indica que a exploração poderia levar à execução arbitrária de código no contexto do usuário atual, sem necessidade de interação do usuário e com alteração de escopo. O CNA atribuiu pontuação CVSS 3.1 de 10.0, e o registro não informa versões corrigidas nem exploração confirmada.

A IBM divulgou a CVE-2026-7871, uma falha crítica de desserialização de dados não confiáveis (CWE-502) no Langflow OSS nas versões de 1.0.0 até 1.10.0. Segundo o registro, um usuário com acesso ao Redis pode executar código arbitrário com os privilégios completos da aplicação. A pontuação CVSS 3.1 base informada pelo CNA é 9.8, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-48276 é uma falha crítica do tipo Upload irrestrito de arquivo com tipo perigoso (CWE-434) no Adobe ColdFusion, segundo o registro da CNA. A descrição indica possível execução arbitrária de código no contexto do usuário atual, sem interação do usuário e com escopo alterado. O registro não traz versões corrigidas nem exploração confirmada, por isso administradores devem consultar o aviso do fabricante e aplicar a correção assim que estiver disponível.

A CVE-2026-58138 descreve uma falha de execução remota de código não autenticada no Orkes Conductor, classificada como injeção de código (CWE-94). Segundo o registro, as versões a partir de 3.21.21 e anteriores à 3.30.2 são afetadas quando definições de workflow inline chegam a avaliadores GraalVM sem sandbox antes da autenticação. A pontuação CVSS 3.1 base é 9.8 (Crítica), e não há exploração confirmada nas fontes consultadas.

OpenProject, software de gerenciamento de projetos de código aberto baseado na web, é afetado por envenenamento do armazenamento de cache que pode levar a execução remota de código, segundo o aviso do GitHub. O registro indica correção nas versões 17.3.3 e 17.4.1 e classifica a severidade como crítica, com pontuação CVSS 3.1 de 9.6. Não há exploração confirmada nas fontes consultadas.

Versões do Budibase anteriores à 3.39.12 permitem que um visitante não autenticado de um app publicado leia e, em algumas configurações, modifique documentos dos bancos de dados de apoio quando o criador expôs uma consulta com papel PUBLIC. A falha decorre da montagem insegura de corpos JSON de consultas a partir de parâmetros fornecidos pelo usuário, e o aviso indica correção na 3.39.12. A NVD classifica como crítica (CVSS 3.1, nota 9,8), e nas fontes consultadas não há exploração confirmada.

A CVE-2026-54827 é uma injeção de SQL crítica e não autenticada no Real Estate 7, descrita como afetando versões até 3.5.9. O registro não informa versão corrigida e não há exploração confirmada nas fontes consultadas. Defensores devem verificar as versões instaladas e aplicar medidas gerais de reforço até que haja orientação do fornecedor.

A CVE-2026-56057 é uma vulnerabilidade de Injeção de Objeto PHP (CWE-502) que afeta o Uncanny Automator Pro até a versão 7.3.0.6, conforme relatado pela Patchstack. O registro atribui pontuação CVSS 3.1 de 9,8, com vetor de rede e sem necessidade de privilégios, e a CVE não consta no catálogo CISA KEV. Versões corrigidas e intervalos exatos de versões afetadas não constam nas fontes consultadas.

O Hospital Queuing Management da Advantech apresenta uma falha de exposição de dados sensíveis, classificada como ausência de autenticação em função crítica (CWE-306), que permite a atacantes remotos não autenticados acessar a documentação da API por meio de uma URL específica. A pontuação base CVSS 3.1 é 9.8 (crítica), e o TWCERT/CC também informa uma pontuação CVSS 4.0 de 9.3. O registro não lista versões afetadas nem corrigidas, portanto os administradores devem consultar os avisos referenciados e restringir o acesso aos endpoints de documentação.