Análises

A CVE-2026-32644 afeta versões específicas de firmware das câmeras AIOT da Milesight, que utilizam certificados SSL com chaves privadas padrão. O ICS-CERT, CNA responsável, classifica a falha como crítica, com pontuação CVSS 3.1 de 9,8. O registro não lista versões afetadas nem corrigidas, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2021-47940 afeta o plugin Download From Files para WordPress, na versão 1.48 e anteriores, e permite que usuários não autenticados enviem arquivos arbitrários, segundo a descrição do registro. A CNA VulnCheck atribui nota 9.8 no CVSS 3.1 e 9.3 no CVSS 4.0, e o registro classifica a falha como CWE-306. Não há inclusão no catálogo KEV da CISA e não foi encontrada exploração ativa confirmada nas fontes consultadas.

A CVE-2026-7136 é uma falha de injeção de comandos do sistema operacional (CWE-77) na função setDmzCfg do CGI Handler do roteador Totolink A8000RU, firmware 7.1cu.643_b20200521. Segundo o registro, a manipulação do argumento wanIdx pode levar à execução de comandos do sistema, e o ataque pode ser realizado remotamente. A CNA VulDB atribui pontuação 9.8 no CVSS 3.1 e o registro informa que há exploit público, embora a CVE não conste no catálogo CISA KEV.

A CVE-2026-5722 afeta o plugin MoreConvert Pro para WordPress em todas as versões até a 1.9.14 inclusive. O fluxo de verificação da lista de espera de convidados não invalida nem regenera tokens quando o e-mail do cliente é alterado, o que, segundo o CNA, pode permitir autenticação não autenticada como usuários existentes, incluindo administradores. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro disponível não informa versão corrigida.

A CVE-2026-7834 é um estouro de buffer baseado em pilha na função get_csrf_whites do arquivo /cgi/advanced/misc_main.cgi do EFM ipTIME NAS1dual 1.5.24, conforme descrito pela CNA VulDB. A CNA atribui CVSS 3.1 de 9.8 (Crítica) e informa que o problema pode ser explorado remotamente e que um exploit foi divulgado publicamente. Nas fontes consultadas não há exploração confirmada no mundo real, e o registro não indica versões afetadas nem correções.

A CVE-2026-41203 afeta o CI4MS antes da versão 0.31.5.0. A função Theme::upload extrai arquivos ZIP enviados sem validar os nomes das entradas, o que permite que um usuário autenticado do backend com permissão de criação de temas grave arquivos fora do diretório previsto, inclusive na raiz pública da web. O problema foi corrigido na versão 0.31.5.0.

A CVE-2026-41446 afeta firmwares da série Snap One WattBox 800 e 820 anteriores à 2.10.0.0. Endpoints HTTP de diagnóstico não documentados aceitam o endereço MAC e a service tag como autenticação, e ambos estão impressos na etiqueta do equipamento. O registro informa pontuação CVSS 3.1 de 9.8 (crítica) e descreve execução arbitrária de comandos como root.

A CVE-2026-44128 afeta o SEPPmail Secure Email Gateway em versões anteriores à 15.0.2.1 e foi classificada como crítica pelo CNA, com pontuação base CVSS 4.0 de 9,3. Um endpoint da nova GINA UI repassa entrada controlada pelo atacante ao eval do Perl, o que o registro descreve como execução remota de código sem autenticação. Não há exploração confirmada nas fontes consultadas, e o registro não traz listas estruturadas de produtos afetados nem de correções.

A CVE-2021-47932 é uma falha crítica de autorização ausente no TheCartPress para WordPress, que afeta as versões até a 1.5.3.6 inclusive. Segundo o registro, um atacante não autenticado pode criar contas de administrador por meio do manipulador AJAX do plugin. Nenhuma versão corrigida aparece nas fontes consultadas, e a vulnerabilidade não consta no catálogo KEV da CISA.

A CVE-2026-42160 afeta o backend do Data Space Portal, uma solução SaaS de código aberto para gestão de dataspaces, nas versões desde a 2.1.1 até antes da 7.3.2. A autorização é insuficiente para contas de organizações e usuários autorregistradas que permanecem no estado PENDING. O problema foi corrigido na versão 7.3.2, e o CNA do GitHub atribuiu nota 10 na escala CVSS 4.0.

A CVE-2026-7152 é uma vulnerabilidade de injeção de comando (CWE-77) na função setTelnetCfg do componente CGI Handler do firmware Totolink A8000RU 7.1cu.643_b20200521, acessível pelo arquivo /cgi-bin/cstecgi.cgi. O registro descreve exploração remota, indica exploit publicamente disponível e traz pontuação CVSS 3.1 de 9.8 atribuída pelo CNA. O registro não lista versões afetadas ou corrigidas e o CVE não consta no catálogo KEV da CISA.

A CVE-2026-41070 é uma falha de autenticação inadequada no openvpn-auth-oauth2 que afeta as versões a partir de 1.26.3 até antes da 1.27.3, somente quando o componente é usado no modo plugin experimental. Clientes sem suporte a WebAuth/SSO podem ser admitidos na VPN mesmo quando a lógica de autenticação os nega. A pontuação CVSS 3.1 de 10.0 é informada pelo CNA do GitHub, e o registro indica correção na versão 1.27.3.

A CVE-2026-42571 é uma falha crítica de escalonamento de privilégios (CWE-863, Autorização Incorreta) na interface web de usuário do Pelican, plataforma para criação de federações de dados. Segundo o registro, qualquer usuário autenticado na WebUI via OAuth pode obter privilégios de administrador em determinadas configurações. O problema foi corrigido nas versões 7.21.5, 7.22.3, 7.23.3 e 7.24.2, e não há exploração confirmada nas fontes consultadas.

As versões do Note Mark descritas como afetadas recorrem a um valor padrão fixo na comparação de senhas para contas sem senha armazenada, incluindo contas criadas via OIDC. Segundo o registro, isso pode permitir obter uma sessão válida sem autenticação e sem interação do usuário, com pontuação CVSS 9.4 atribuída pela fonte GitHub. O registro indica que a correção está na versão 0.19.3.

A CVE-2026-8076 afeta o painel web de administração do CashDro 3, versão 24.01.00.26, que aceita PINs numéricos para autenticação de usuários. O registro descreve que a ausência de bloqueio de conta permitiria adivinhação por força bruta dos PINs, com possível acesso a configurações confidenciais. O CNA classificou como crítica, com CVSS 4.0 de 9.3, e não há exploração confirmada nas fontes consultadas.