Análises

O gerenciador de ferramentas de desenvolvimento mise processa arquivos .tool-versions por meio de um motor de templates antes da versão 2026.3.10, o que o registro descreve como possibilitando execução arbitrária de comandos. Segundo o registro, uma vítima com o mise ativado que entre em um repositório malicioso pode ser afetada sem aviso de confiança no modo não paranoico. O registro informa pontuação CVSS 3.1 base de 9,6 (Crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.

As versões do Budibase anteriores à 3.39.0 expõem um endpoint de URL de upload de anexos sem verificação de autorização. Um chamador anônimo que identifique um workspace e uma fonte de dados S3 pode obter uma URL de escrita pré-assinada com as credenciais da fonte. O registro indica que a falha foi corrigida na 3.39.0 e não consta no CISA KEV.

O firmware dos dispositivos Daktronics DMP-5000, DMP-8000 e VFC-DMP-5000 vem com uma conta web administrativa padrão, com controles de autenticação fracos e sem exigência de troca durante a configuração ou a operação. Segundo o registro, o uso dessas contas concede acesso total ao sistema. A NVD classifica a falha com nota 9,8 (crítica) no CVSS 3.1, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-48315 é uma falha crítica de validação imprópria de entrada (CWE-20) no Adobe ColdFusion, com pontuação 9,3 no CVSS 3.1 atribuída pelo CNA. Segundo a descrição do CNA, a exploração pode levar à execução de código no contexto do usuário atual e exige que a vítima abra um arquivo malicioso. O registro não indica inclusão no catálogo KEV nem versão corrigida, por isso recomenda-se consultar o boletim APSB26-68 da Adobe.

A CVE-2026-54636 afeta o plugin cron do Dokku anteriores à versão 0.38.7, em que comandos declarados no app.json não são tratados com segurança e podem sair do contêiner para executar no host como usuário Dokku. O aviso classifica a falha como crítica, com pontuação 9,9 no NVD e 9 no GitHub. Não há exploração confirmada nas fontes consultadas, e a correção está disponível na versão 0.38.7.

A CVE-2025-11919 é uma falha crítica (pontuação base CVSS 3.1 de 9,6) na Java Virtual Machine padrão, em que arquivos no diretório compartilhado /tmp podem influenciar quais bibliotecas a JVM carrega do seu classpath. O registro não identifica o produto afetado, as versões ou uma versão corrigida. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-6213 afeta o Remote Spark SparkView anterior ao build 1122. O registro descreve um bypass da verificação de conexão local que pode levar à execução arbitrária de código como root no servidor, com pontuação CVSS 4.0 de 10 (crítica) atribuída pelo CNA. Não há exploração confirmada nas fontes consultadas, e o registro não lista faixas de versões afetadas ou corrigidas.

O plugin User Verification da PickPlugins para WordPress apresenta um bypass de autenticação (CWE-288) causado por uma comparação frouxa do PHP na validação de códigos OTP. Segundo o registro, atacantes não autenticados poderiam acessar qualquer usuário com e-mail verificado, incluindo administradores, e a pontuação CVSS é 9.8 (crítica). O registro não informa versão corrigida e, nas fontes consultadas, não há exploração confirmada.

O aviso GHSA-56cc-gxfr-hqp8 do GitHub descreve uma injeção de SQL crítica no componente beanFeed.cfc do Masa CMS, acionada pelo parâmetro sortDirection. O registro indica como afetadas as versões de 7.2.0 até 7.2.9, de 7.3.0 até 7.3.14, de 7.4.0 até 7.4.9 e de 7.5.0 até 7.5.2, com correções nas versões 7.2.10, 7.3.15, 7.4.10 e 7.5.3. A atualização para a versão corrigida de cada linha é a principal medida, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-7123 é uma falha de injeção de comando do sistema operacional (CWE-77) no componente CGI Handler do Totolink A8000RU, firmware 7.1cu.643_b20200521, descrita como explorável remotamente. A CNA atribui pontuação CVSS 3.1 9.8 (crítica), e o registro informa que existe exploit público. O catálogo KEV da CISA não a lista e o registro não identifica correção do fabricante.

Foi relatada uma falha de injeção de comando (CWE-77) na função setAdvancedInfoShow do handler CGI do Totolink A8000RU, firmware 7.1cu.643_b20200521. A CNA VulDB classifica a severidade como crítica, com pontuação base 9.8 no CVSS 3.1, e informa que o ataque pode ser feito remotamente e que existe exploit público. Não há registro de inclusão no catálogo KEV da CISA nem de exploração confirmada nas fontes consultadas.

A CVE-2026-41924 é uma falha de injeção de comando no sistema operacional no binário makeRequest.cgi do WiFi Extender WDR201A (HW V2.1, FW LFMZX28040922V1.02). Segundo o registro, ela pode ser explorada sem autenticação pelas funções set_time e StartSniffer, e a VulnCheck atribui pontuação 9.3 pelo CVSS 4.0. O registro não indica inclusão no catálogo KEV, lista de versões afetadas nem correção, por isso a remediação depende do fabricante.

O Masa CMS apresenta uma injeção de SQL não autenticada no parâmetro altTable da API JSON, que é inserido em uma cláusula FROM sem validação. O registro classifica a falha como crítica, com pontuação CVSS 4.0 de 9.3 atribuída pelo CNA GitHub. As versões corrigidas indicadas são 7.2.10, 7.3.15, 7.4.10 e 7.5.3, e a solução provisória é validar a entrada ou desativar a API JSON.

A CVE-2026-8153 é uma falha de injeção de comandos do sistema operacional na interface Dashboard Server do Universal Robots PolyScope, nas versões anteriores à 5.25.1, segundo o registro consultado. De acordo com o registro, um atacante não autenticado poderia montar comandos capazes de executar código no sistema operacional do robô. O status no NVD é Awaiting Analysis e a pontuação CVSS 3.1 de 9.8 foi atribuída pela CNA.

O extensor WiFi WDR201A contém uma falha de injeção de comandos do sistema operacional no binário firewall.cgi, classificada como CWE-78 e com pontuação 9.3 no CVSS 4.0 atribuída pelo CNA. Segundo o registro, os payloads injetados persistem na NVRAM e são executados novamente em requisições posteriores ao firewall.cgi. O registro não lista versão corrigida nem inclusão no catálogo KEV da CISA.