Análises

As versões do NextGEN Gallery anteriores à 4.2.1 são afetadas por injeção de SQL autenticada pelo parâmetro orderby de dois endpoints da API REST. A Tenable atribui pontuação 9.3 (crítica) no CVSS v4.0, e o atacante precisa de uma capacidade concedida por padrão ao perfil Administrador. Não há exploração confirmada nas fontes consultadas e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-9264 é uma falha de cross-site scripting no recurso Dynamic Components do Trimble SketchUp 2026, associada ao CWE-94 (Injeção de Código) no registro. A descrição relata impactos de execução remota de código e exfiltração de arquivos locais por meio de arquivos SKP elaborados, com pontuação base CVSS 3.1 de 9.3. O registro lista versões afetadas abaixo de 2026.1.3, não traz entradas de correção e não consta na lista KEV da CISA.

O plugin Boost para WordPress, listado como PixelYourSite Boost, é afetado por Injeção de Objeto PHP não autenticada nas versões até 2.0.3 inclusive, por meio de desserialização insegura de um valor de cookie. As fontes consultadas não relatam cadeia POP conhecida no próprio plugin, então o impacto prático depende de outros componentes instalados no mesmo site. O registro não informa versão corrigida, e a pontuação CVSS 3.1 de 9.8 é a reportada pela Wordfence.

Foi relatada uma falha de injeção de comando do sistema operacional (CWE-77) na função setAccessDeviceCfg da interface de gerenciamento web do Totolink A8000RU, por meio do argumento mac. A VulDB atribui pontuação base CVSS 3.1 de 9.8, e o registro descreve ataque remoto e exploit divulgado publicamente. Nenhuma versão corrigida consta nas fontes consultadas, e a CVE não está listada no catálogo KEV da CISA.

As versões do SureCart anteriores à 4.2.1 contêm uma falha de injeção de SQL autenticada no endpoint REST de integrações, classificada com nota 9.3 (crítica) no CVSS 4.0 pela Tenable. A causa raiz é um contorno de escape no construtor de consultas, que pode permitir a injeção de SQL em cláusulas WHERE. Não há exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida.

A CVE-2026-8838 afeta o amazon-redshift-python-driver anteriores à versão 2.1.14. A função vector_in() aplica eval() do Python a dados recebidos do servidor, o que, segundo o registro, pode permitir que um servidor malicioso ou um agente de man-in-the-middle execute código arbitrário no cliente. A pontuação CVSS 3.1 informada pela CNA é 9.8 (crítica), e o registro recomenda atualizar para a versão 2.1.14.

A CVE-2026-9435 é uma falha de injeção de comando (CWE-77) reportada na interface de gerenciamento web do Totolink A8000RU, firmware 7.1cu.643_b20200521. O registro indica que a manipulação do argumento enable da função setQosCfg pode levar à injeção de comando no sistema operacional, que a exploração remota é possível e que existe um exploit público. O registro não informa versão corrigida nem faixa de versões afetadas, e a CVE não consta no catálogo KEV da CISA.

As versões do Typebot 3.15.2 e anteriores permitem SSRF não autenticada pelo endpoint de pré-visualização de chat, pois uma função fetch dentro do sandbox isolated-vm ignora a validação de URL usada pelo bloco HTTP Request. O registro atribui pontuação CVSS 3.1 de 10.0 (Crítica) e indica que a correção está na versão 3.16.0. O problema não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-42731 é uma falha de escalonamento de privilégios classificada como CWE-266 (Atribuição Incorreta de Privilégios) no plugin miniOrange OTP verification, que afeta versões até a 5.4.9 segundo o registro. A avaliação do CNA a classifica como crítica, com pontuação CVSS 3.1 de 9.8 e sem exigência de privilégios ou interação do usuário. O registro não informa versão corrigida, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-46725 é uma falha crítica de desserialização (CWE-502) em uma extensão do TYPO3, em que um cookie controlado pelo atacante é passado ao unserialize() do PHP sem processamento seguro. A pontuação CVSS 4.0 atribuída pelo CNA é 9,2, e o registro indica que a exploração exige elemento de conteúdo configurado com "Persistent Mode: Static". Não há exploração confirmada nas fontes consultadas nem inclusão no catálogo KEV da CISA.

Versões do XWiki Platform anteriores a 18.1.0-rc-1, 17.10.3, 17.4.9 e 16.10.17 apresentam uma fraqueza de path traversal (CWE-23) que pode expor arquivos de configuração pelos endpoints ssx e jsx. O CNA do GitHub atribuiu nota 9,3 (crítica) no CVSS 4.0, e o registro indica que o problema foi corrigido nas versões citadas. O registro não consta no CISA KEV e não há exploração confirmada nas fontes consultadas.

A CVE-2026-9458 é uma falha de injeção de comando no sistema operacional na função setWanCfg da Interface Web de Gerenciamento do Totolink A8000RU, versão de firmware 7.1cu.643_b20200521, acessível remotamente. A VulDB, na condição de CNA, atribui pontuação base CVSS 3.1 de 9.8 (crítica), e o registro informa que há exploit publicamente disponível. O registro não lista versão corrigida e a vulnerabilidade não consta no catálogo KEV da CISA.

O plugin WP Super Edit para WordPress, nas versões 2.5.4 e anteriores, apresenta uma fragilidade de upload irrestrito de arquivos no componente FCKeditor (CWE-434). O registro associa a falha a possível execução remota de código, com pontuação CVSS 3.1 de 9.8 atribuída pela VulnCheck. Não há inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas, e nenhuma versão corrigida está registrada.

Uma fraqueza na interface de gerenciamento web do firmware 7.1cu.643_b20200521 do Totolink A8000RU permite injeção de comandos do sistema operacional pela função setScheduleCfg em /cgi-bin/cstecgi.cgi. A VulDB classifica como crítica, com CVSS 3.1 de 9.8, e descreve ataque remoto. O registro informa que existe exploit público, mas a CVE não consta no catálogo KEV da CISA e não há versão corrigida listada.

A CVE-2026-42727 é uma falha de SQL injection (CWE-89) no plugin WordPress Active Products Tables for WooCommerce, de RealMag777, que afeta versões até a 1.0.8 inclusive. O registro descreve a falha como blind SQL injection e atribui pontuação CVSS 3.1 de 9.3 (Crítica) pela Patchstack. Nenhuma versão corrigida é listada e não há exploração confirmada nas fontes consultadas.