Análises

A Moxa divulgou a CVE-2025-6893, uma falha de controle de acesso quebrado classificada como CWE-250 (Execução com Privilégios Desnecessários) em seus appliances de segurança de rede e roteadores. Um usuário autenticado com baixos privilégios pode conseguir acessar ou modificar dados de configuração do sistema, o que pode levar à escalada de privilégios. O CNA atribui pontuação CVSS 4.0 de 9,3, e o catálogo KEV da CISA não a lista nos dados consultados.

A CVE-2026-3325 é uma falha de injeção de SQL no MegaCMS v12.0.0, localizada no parâmetro id_territorio do endpoint /web_comunications/cms/get_provincias. A CNA, INCIBE-CERT, classifica como crítica, com pontuação base CVSS 4.0 de 10, e o registro descreve que ela pode ser alcançada sem autenticação durante o fluxo de cadastro. Não há exploração confirmada nas fontes consultadas, e o registro não traz dados de versões afetadas ou corrigidas.

A CVE-2026-7139 é uma falha de injeção de comando no função setWiFiAclRules do CGI Handler do firmware TOTOLINK A8000RU 7.1cu.643_b20200521, acessível remotamente pelo arquivo /cgi-bin/cstecgi.cgi. A CNA atribui nota 9,8 pelo CVSS 3.1, e o registro informa que um exploit foi publicado. O registro não indica versão corrigida e o produto não consta no catálogo KEV da CISA.

Uma falha de SQL Injection no plugin WordPress WebinarIgnition, da Saleswonder LLC, permite SQL Injection cego nas versões até 4.08.253. A CNA Patchstack classifica a falha como crítica, com pontuação CVSS 3.1 de 9.3. O registro não informa versão corrigida nem exploração confirmada.

A VulDB relata um estouro de buffer na função loginauth de /cgi-bin/cstecgi.cgi do Totolink N300RH na versão 3.2.4-B20220812. A manipulação do argumento Password pode ser acionada remotamente, e o registro indica que um exploit foi divulgado publicamente. Nenhuma versão corrigida é listada e o registro não mostra inclusão no catálogo KEV.

A CVE-2026-6508 é um Erro de Validação de Origem (CWE-346) no Liderahenk, da TUBITAK BILGEM, que afeta versões a partir da 2.0.1 e anteriores à 2.0.2, permitindo acesso a funcionalidades não devidamente restringidas por listas de controle de acesso. O CNA atribuiu pontuação CVSS 3.1 base de 9.8 (crítica). Não há indicação de exploração confirmada nas fontes consultadas, e o registro não traz dados estruturados de versões afetadas ou corrigidas.

O CVE-2026-3893 descreve o Receptor GNSS Carlson VASCO-B como desprovido de mecanismo de autenticação, o que permitiria a um atacante com acesso à rede alcançar funções de configuração e operação sem credenciais. O ICS-CERT atribuiu pontuação base CVSS 3.1 de 9,4 (crítica), e o registro associa a falha ao CWE-306. Nas fontes consultadas não há exploração confirmada, e o registro não lista versões afetadas nem corrigidas.

A CVE-2026-41462 é uma falha crítica de injeção de SQL na função de login do ProjeQtor, nas versões 7.0 até 12.4.3, em que o campo de usuário é concatenado diretamente em uma consulta SQL sem parametrização. A pontuação CVSS 3.1 registrada é 9.8, e a descrição indica possível criação de contas privilegiadas e leitura de dados sensíveis sem autenticação. Não há exploração confirmada nas fontes consultadas e o registro não informa versão corrigida.

A CVE-2026-42369 é um estouro de pilha (CWE-787) no GV-VMS V20 da Geovision, classificado pelo CNA como Crítico com CVSS 3.1 10.0. Segundo o registro, a falha está na decodificação Base64 de dados tratados pelo endpoint gvapi da interface web do WebCam Server. Nas fontes consultadas não há versão corrigida, faixa de versões afetadas nem exploração confirmada.

Foi reportada uma falha classificada como injeção de comandos do sistema operacional (CWE-77) no CGI Handler do Totolink A8000RU, firmware 7.1cu.643_b20200521, na função setWizardCfg. O CNA (VulDB) atribui pontuação 9.8 no CVSS 3.1 e informa que o ataque pode ser iniciado remotamente e que há exploit publicado. O CISA KEV não a lista e não há exploração confirmada nas fontes consultadas.

A build 7.1cu.643_b20200521 do Totolink A8000RU contém uma falha de injeção de comando no sistema operacional na função setStorageCfg, acionada pelo argumento sambaEnabled. O CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8, afirma que a exploração remota é possível e informa que um exploit foi divulgado publicamente. O registro não identifica correção do fabricante e a CVE não consta no catálogo CISA KEV.

O Plane, ferramenta open source de gestão de projetos, apresenta uma falha no login por código mágico enviado por e-mail nas versões anteriores à 1.4.0. O código de uso único de seis dígitos pode ser testado repetidamente, pois as tentativas falhas não são contabilizadas, limitadas nem bloqueadas. O GitHub CNA classifica a falha como crítica, com CVSS 3.1 de 9.1, e ela foi corrigida na 1.4.0; nas fontes consultadas não há exploração confirmada.

A CVE-2026-7153 é uma falha crítica de injeção de comando do sistema operacional (CWE-77) na função setMiniuiHomeInfoShow do CGI Handler do firmware 7.1cu.643_b20200521 do Totolink A8000RU. A CNA VulDB atribui nota 9,8 pelo CVSS 3.1 e informa que a exploração pode ser remota, sem privilégios e sem interação do usuário. O registro indica que um exploit foi publicado, mas a CISA KEV não lista a vulnerabilidade e as fontes consultadas não confirmam exploração ativa.

A CVE-2026-4882 afeta o plugin User Registration Advanced Fields para WordPress, em que a falta de validação do tipo de arquivo na função URAF_AJAX::method_upload pode permitir uploads arbitrários por usuários não autenticados. O registro indica nota 9.8 (crítica) no CVSS 3.1 e que a exploração depende de um campo Profile Picture no formulário. Nenhuma versão corrigida consta nas fontes consultadas, e a falha não está listada no catálogo CISA KEV.

O plugin Orion SMS OTP Verification para WordPress, em todas as versões até a 1.1.7 inclusive, não valida adequadamente a identidade do usuário antes de atualizar sua senha. A Wordfence informa pontuação base CVSS 3.1 de 9.8 (crítica), e o registro descreve possível tomada de conta sem autenticação quando o atacante conhece o número de telefone da vítima. O registro não lista versão corrigida, e nenhuma exploração confirmada aparece nas fontes consultadas.