Análises

A CVE-2026-44126 afeta o SEPPmail Secure Email Gateway anteriores à versão 15.0.4 e é classificada como desserialização insegura de dados não confiáveis (CWE-502). Segundo o CNA, a falha pode ser alcançada pela nova interface GINA e pode permitir execução remota de código por atacantes não autenticados, com pontuação base CVSS 4.0 de 9.2 (crítica). Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2025-49655 é uma falha de desserialização de dados não confiáveis (CWE-502) no framework Keras. Segundo o registro, um arquivo Keras criado com uma classe TorchModuleWrapper pode executar código arbitrário ao ser carregado, mesmo com o modo seguro habilitado. A CNA atribuiu pontuação CVSS 3.1 de 9.8 (Crítica), e o registro não indica inclusão no catálogo KEV.

A CVE-2026-7140 é uma vulnerabilidade de injeção de comando do sistema operacional na função CsteSystem do componente CGI Handler do firmware Totolink A8000RU 7.1cu.643_b20200521, conforme descrito pela CNA VulDB. A CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8 e vetor de ataque pela rede. O registro informa que detalhes de exploração foram divulgados publicamente, mas o CISA KEV não a lista e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-7719 é um estouro de buffer (CWE-119) na função loginauth do componente POST Request Handler do firmware Totolink WA300 5.2cu.7112_B20190227. A CNA classifica a falha como crítica (CVSS 3.1 com pontuação 9,8) e informa que pode ser explorada remotamente e que já existe exploit publicado. O registro não mostra inclusão no catálogo KEV nem exploração confirmada na natureza.

Uma vulnerabilidade no componente CGI Handler do Totolink A8000RU, firmware 7.1cu.643_b20200521, permite injeção de comando do sistema operacional por meio de um argumento manipulado, classificada como CWE-77. O CNA a classifica como crítica, com pontuação CVSS 3.1 de 9.8, e o registro informa que pode ser explorada remotamente e que existe exploit público. Não há exploração confirmada nem correção do fabricante nas fontes consultadas.

A CVE-2026-7242 é uma falha de injeção de comando do sistema operacional (CWE-77) na função setOpenVpnClientCfg do CGI Handler, acessada por /cgi-bin/cstecgi.cgi no firmware 7.1cu.643_b20200521 do Totolink A8000RU. A CNA classifica a severidade como crítica, com CVSS 3.1 de 9.8, e o registro informa que um exploit foi divulgado publicamente. O CVE não consta no catálogo KEV da CISA e o registro não traz versão corrigida.

A CVE-2026-42569 afeta versões do phpVMS anteriores à 7.0.6, nas quais uma falha crítica permitia acesso não autenticado a um recurso legado de importação. A pontuação CVSS 3.1 informada pelo CNA é 9.4, e o problema foi corrigido na 7.0.6. Não foi encontrada exploração confirmada nas fontes consultadas.

A CVE-2026-7567 afeta o plugin Temporary Login para WordPress nas versões até e incluindo a 1.0.0. O registro descreve um bypass de autenticação que pode permitir que um visitante não autenticado entre como usuário com login temporário ativo, com pontuação base CVSS 3.1 de 9.8. Nenhuma versão corrigida consta no registro e nenhuma exploração confirmada aparece nas fontes consultadas.

O Plane, ferramenta de gerenciamento de projetos de código aberto, é afetado por uma referência direta insegura a objeto em seu endpoint de ativos em lote, conforme descrito no registro. Segundo a descrição, um Guest do workspace pode reatribuir ativos de outro projeto e obter uma URL de download pré-assinada, e a correção está na versão 1.4.0. O GitHub classifica o problema como crítico, com nota CVSS 3.1 de 9.6, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-41922 é uma falha de injeção de comando do sistema operacional (CWE-78) no binário wireless.cgi do WiFi Extender WDR201A, hardware V2.1 com firmware LFMZX28040922V1.02. Segundo o registro, um atacante remoto não autenticado poderia executar comandos arbitrários de shell, e o CNA atribuiu pontuação CVSS 4.0 de 9,3. O registro não lista versões afetadas ou corrigidas e a vulnerabilidade não consta no catálogo KEV da CISA.

Os appliances de segurança de rede e roteadores da Moxa apresentam uma falha de autorização na API (CWE-250) que permite a um usuário autenticado, com baixos privilégios, criar contas de administrador, inclusive com nomes de usuário idênticos a usuários existentes. A Moxa atribui nota 9.3 (crítica) no CVSS 4.0, e o registro não mostra inclusão no KEV nem exploração confirmada nas fontes consultadas. Consulte o aviso da Moxa para versões afetadas e correções, pois o registro não as informa.

A CVE-2025-6950 afeta appliances de segurança de rede e roteadores da Moxa, que usam uma chave secreta fixa para assinar JSON Web Tokens usados na autenticação. O CNA classificou a falha como crítica, com pontuação base CVSS 4.0 de 9.9, e um atacante não autenticado poderia forjar tokens para se passar por qualquer usuário. A CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

Foi relatado um estouro de buffer baseado em pilha na função find_host_ip do componente lighttpd do Totolink NR1800X 9.1.0u.6279_B20210910, acionado pela manipulação do argumento Host. Segundo o registro da CNA, a exploração pode ocorrer remotamente e há exploit divulgado publicamente. As fontes consultadas não mostram exploração confirmada na natureza, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-41202 afeta o ci4ms, um esqueleto de CMS baseado em CodeIgniter, em versões anteriores à 0.31.5.0. A rotina de restauração de backup extrai arquivos ZIP enviados sem validar os nomes das entradas, um path traversal do tipo Zip Slip que permite a um usuário autenticado do backend com permissão de criação de backup gravar arquivos fora do diretório previsto. O registro descreve possível execução remota de código, e o problema foi corrigido na versão 0.31.5.0.

A CVE-2026-7122 é uma vulnerabilidade de injeção de comando no sistema operacional (CWE-77) na função setUPnPCfg do CGI Handler do firmware Totolink A8000RU 7.1cu.643_b20200521. A CNA VulDB atribui nota 9.8 (Crítica) pelo CVSS 3.1 e descreve o vetor como remoto e sem necessidade de privilégios. O registro informa que o exploit foi divulgado publicamente, mas não há exploração confirmada nas fontes consultadas e nenhuma versão corrigida consta no registro.