Análises

A CVE-2026-7125 é uma falha de injeção de comando do sistema operacional (CWE-77) no CGI Handler do Totolink A8000RU, firmware 7.1cu.643_b20200521. O CNA classifica como crítica, com CVSS 3.1 9.8, e informa que o ataque pode ser iniciado remotamente. O registro indica que existe exploit público, mas a CISA KEV não lista a CVE e não há exploração confirmada nas fontes consultadas.

A CVE-2026-29200 é uma falha IDOR crítica no WebPros Comet Backup, com pontuação base CVSS v4.0 de 9,9 registrada. Segundo o registro, um administrador de tenant pode se passar por contas de usuários finais de outros tenants no mesmo servidor por meio de uma chamada de API vulnerável. As fontes consultadas não mostram inclusão no catálogo KEV nem exploração ativa confirmada.

A CVE-2023-54342 afeta o Eclipse Equinox OSGi nas versões 3.8 a 3.18 e é descrita como uma falha de execução remota de código sem autenticação na interface de console (CWE-306). A pontuação CVSS 3.1 base é 9,8 (crítica), conforme publicada pela VulnCheck. O registro não indica inclusão no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-42287 é uma falha crítica de injeção de SQL nas funções de criação e atualização de artigos do Emlog, que afeta versões anteriores à 2.6.11. A pontuação CVSS 4.0 fornecida pelo CNA é 10,0, e o registro informa que o problema foi corrigido na 2.6.11. O registro não indica inclusão no catálogo KEV nem exploração confirmada.

Foi relatada uma falha de injeção de comando (CWE-77) na função setAppFilterCfg do firmware Totolink A8000RU 7.1cu.643_b20200521, acessível pelo caminho /cgi-bin/cstecgi.cgi. A CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8, e afirma que pode ser explorada remotamente. Há menção a um exploit público, mas as fontes consultadas não registram exploração confirmada na natureza.

A CVE-2026-42302 afeta o componente agent-sandbox do FastGPT, em que um script de inicialização executa o code-server sem autenticação em todas as interfaces de rede. Segundo o registro, qualquer usuário com acesso de rede à porta 8080 pode obter controle total do sandbox, e o GitHub atribui pontuação 9.8 (crítica). A correção está disponível na versão 4.14.13.

O plugin MStore API para WordPress, na versão 2.0.6, é descrito como vulnerável a upload arbitrário de arquivos por usuários não autenticados por meio de um endpoint da REST API. Segundo o registro, arquivos PHP enviados dessa forma poderiam levar à execução remota de código no servidor. A pontuação CVSS 3.1 de 9.8 (crítica) é atribuída pela VulnCheck, e o registro indica que a CVE não consta no catálogo KEV da CISA, sem exploração confirmada nas fontes consultadas.

Foi relatada uma falha de injeção de comando (CWE-77) na função setWiFiEasyGuestCfg do manipulador CGI do Totolink A8000RU, firmware 7.1cu.643_b20200521. Segundo o registro, a manipulação do argumento merge pode levar à execução de comandos do sistema operacional, e o ataque pode ser feito remotamente. A descrição menciona exploit público, mas o registro não indica inclusão no catálogo KEV nem exploração confirmada.

JS8Call até a versão 2.3.1 e JS8Call-improved anterior à 3.0 apresentam um estouro de buffer baseado em pilha na função grid2deg de APRSISClient.cpp, acionado por uma transmissão de rádio com a mensagem @APRSIS GRID seguida de um localizador Maidenhead excessivamente longo. A pontuação CVSS 4.0 informada pelo CNA é 10, com vetor de ataque pela rede e sem necessidade de privilégios ou interação do usuário. Não há exploração confirmada na natureza nas fontes consultadas, embora o SSVC registre o estado de exploração como poc.

Foi relatada uma vulnerabilidade de injeção de comando (CWE-77) na função setLoginPasswordCfg do componente CGI Handler do firmware Totolink A8000RU 7.1cu.643_b20200521, acessível pelo caminho /cgi-bin/cstecgi.cgi. Segundo o registro, a manipulação do argumento admpass pode levar à injeção de comandos no sistema operacional, e o ataque pode ser iniciado remotamente. O CNA atribuiu pontuação CVSS 3.1 de 9,8 (crítica), e não há exploração confirmada no mundo real nas fontes consultadas.

Uma falha de injeção de comando no CGI Handler cstecgi.cgi do Totolink A8000RU 7.1cu.643_b20200521 é descrita como acionável remotamente pelo argumento proto. A CNA (VulDB) atribui nota 9,8 pelo CVSS 3.1, e o registro informa que há exploit público disponível. Não há inclusão no KEV nem exploração confirmada nas fontes consultadas.

A CVE-2026-41925 descreve uma falha de injeção de comandos do sistema operacional (CWE-78) no binário adm.cgi do extensor WiFi WDR201A (HW V2.1, FW LFMZX28040922V1.02), acessível sem autenticação. O CNA atribuiu pontuação base CVSS 4.0 de 9.3, mas o registro não lista versões afetadas nem corrigidas, e o catálogo KEV da CISA não a inclui. Operadores devem restringir o acesso à interface administrativa do equipamento e verificar atualizações do fabricante.

A CVE-2026-5294 afeta o plugin GeekyBot para WordPress até a versão 1.2.2 inclusive e é classificada como Falta de Autorização (CWE-862). Segundo o registro, uma requisição sem autenticação pode alcançar um auxiliar de instalação de plugins, o que pode permitir a instalação arbitrária de plugins e execução remota de código, com pontuação CVSS 3.1 de 9,8 (Crítica). Não há exploração confirmada nas fontes consultadas, e o registro não indica versão corrigida.

As versões do Plunk anteriores à 0.9.0 aceitam payloads de notificação do Amazon SNS no endpoint /webhooks/sns sem verificar a assinatura SNS, o certificado ou o ARN do tópico. Segundo o aviso, isso permite forjar eventos SNS sem autenticação, com possíveis efeitos sobre fluxos de automação, contatos, métricas de entrega e faturamento. O problema foi corrigido na versão 0.9.0, e nenhuma exploração confirmada aparece nas fontes consultadas.

Uma vulnerabilidade na função setWiFiWpsStart do componente CGI Handler do firmware Totolink A8000RU 7.1cu.643_b20200521 permite injeção de comando de sistema operacional pelo argumento wscDisabled, segundo o registro. O CNA classifica como crítica, com pontuação base CVSS 3.1 de 9.8, e o registro indica que o ataque pode ser iniciado remotamente. O registro também informa que o exploit foi divulgado publicamente, mas o catálogo KEV da CISA não lista este CVE.