Análises

A CVE-2026-42607 afeta o Grav, plataforma web baseada em arquivos, em versões anteriores à 2.0.0-beta.2. Um administrador autenticado pode enviar um arquivo ZIP elaborado pela ferramenta Direct Install, pois o conteúdo do arquivo não é inspecionado, o que pode levar à execução remota de código. O registro indica CVSS 3.1 9.1 (crítico) e correção na 2.0.0-beta.2, e a falha não consta no catálogo KEV da CISA.

Nas versões afetadas da biblioteca go-pkgz/auth, o provedor OAuth do Patreon associa todas as contas autenticadas via Patreon a um mesmo ID de usuário local. Isso pode fundir usuários Patreon não relacionados em uma única identidade, com risco de acesso entre contas e exposição do estado de assinatura em aplicações que dependem desse ID. O CNA informa pontuação base CVSS 3.1 de 9.1, e as versões corrigidas são 1.25.2 e 2.1.2.

A CVE-2026-7124 é uma falha de injeção de comando no função setIpv6LanCfg do manipulador CGI dos dispositivos Totolink A8000RU, acessível pelo argumento addrPrefixLen. A CNA VulDB descreve a falha como explorável remotamente e informa que já há um exploit divulgado publicamente. A pontuação base CVSS 3.1 é 9.8 (crítica), mas o registro não traz intervalos de versões afetadas nem versões corrigidas.

O Plane, ferramenta open source de gestão de projetos, anterior à versão 1.4.0 aceita endereços de e-mail não verificados de logins OAuth do Gitea e do GitLab self-managed, o que pode permitir que um atacante associe a conta local de uma vítima. A CNA GitHub atribuiu nota 9.1 (CVSS 3.1, crítica) e o registro indica CWE-287. A correção está na versão 1.4.0, e nenhuma exploração confirmada aparece nas fontes consultadas.

Versões do NornicDB anteriores à 1.0.42-hotfix vinculam o listener Bolt a todas as interfaces de rede, pois o endereço configurado não chega à configuração do servidor Bolt. Em uma rede local, isso pode expor o banco de grafos a qualquer dispositivo que compartilhe a rede, e a descrição indica o uso de credenciais padrão admin:password. O registro classifica a falha como crítica, com pontuação CVSS 3.1 de 9,8, e informa que foi corrigida na 1.0.42-hotfix.

As aplicações host Zigbee EZSP da Silicon Labs apresentam um estouro de buffer causado por validação inadequada de entradas, que pode corromper a pilha. O registro afirma que a execução de código é possível em certas condições e que é necessário acesso a uma chave de rede. A pontuação CVSS 4.0 no registro é 9,4, e a CVE não consta no catálogo KEV da CISA.

Uma vulnerabilidade no componente CGI Handler do firmware Totolink A8000RU 7.1cu.643_b20200521 permite injeção de comando no sistema operacional por meio de um argumento manipulado, segundo o registro da CNA VulDB. O registro indica que o ataque pode ser executado remotamente e que o exploit foi divulgado publicamente. O CVE não consta no catálogo KEV da CISA, e a CNA informa pontuação CVSS v3.1 de 9.8.

Uma vulnerabilidade na função setUrlFilterRules do CGI Handler do firmware Totolink A8000RU 7.1cu.643_b20200521 permite injeção de comando de sistema operacional por meio do argumento enable. O registro a descreve como explorável remotamente, com severidade crítica, pontuação CVSS 3.1 de 9.8 atribuída pelo CNA e classificação CWE-77. As fontes consultadas mencionam exploit público, mas não confirmam exploração ativa, e nenhuma versão corrigida consta no registro.

A CVE-2026-5166 é uma falha de travessia de diretório (CWE-22) no Pardus Software Center, desenvolvido pela TUBITAK BILGEM, que afeta versões anteriores à 0.6.4. A pontuação CVSS 3.1 informada pelo CNA é 9.6 (crítica), e o registro não indica uma versão corrigida. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-42454 afeta o Termix em versões anteriores à 2.1.0, nas quais os endpoints de gerenciamento de contêineres Docker inserem o parâmetro de caminho containerId e um campo de mensagem WebSocket em comandos de shell sem validação. A fraqueza é classificada como injeção de comando do sistema operacional (CWE-78) e tem pontuação base CVSS 3.1 de 9,9 segundo o registro. O aviso informa que a correção está na versão 2.1.0, e não há exploração confirmada nas fontes consultadas.

A CVE-2025-10970 descreve uma injeção de SQL cega (CWE-89) no Talentics, produto da Kolay Software Inc. O CNA, o USOM, atribuiu nota 9.8 (crítica) no CVSS 3.1, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário. O registro não traz entradas de versões afetadas, correção ou inclusão no catálogo KEV, e o fornecedor não respondeu.

As versões do FreeScout anteriores à 1.8.217 aceitam um hash de convite de configuração de usuário que não expira, de modo que um convite vazado pode ser usado meses ou anos depois para definir uma senha. O CNA do GitHub atribuiu nota 9.1 (crítica, CVSS 3.1) e classificou a falha como CWE-613. Segundo o registro, a correção está na versão 1.8.217 e a falha não consta no catálogo KEV da CISA.

A CVE-2026-7411 é uma falha de path traversal (CWE-22) na API HTTP de Submodel do Eclipse BaSyx Java Server SDK em versões anteriores à 2.0.0-milestone-10. Segundo o CNA, um atacante remoto não autenticado pode explorar o parâmetro fileName em operações de upload para gravar arquivos fora da área de armazenamento prevista, o que pode levar à execução remota de código. O registro traz pontuação CVSS 3.1 de 10 fornecida pelo CNA, não consta no catálogo KEV da CISA e ainda não lista versões afetadas nem corrigidas.

A CVE-2026-7138 é uma falha de injeção de comando de sistema operacional (CWE-77) na função setNtpCfg do manipulador CGI do firmware Totolink A8000RU 7.1cu.643_b20200521. A CNA, VulDB, classifica a severidade como crítica, com pontuação CVSS 3.1 de 9.8, e informa que a exploração remota é possível e que já existe exploit público. O registro não traz versões afetadas ou corrigidas estruturadas nem exploração ativa confirmada.

As versões do Masa CMS 7.5.2 e anteriores apresentam uma falha de injeção de SQL no parâmetro sortBy processado pela função getQuery do componente beanFeed.cfc. Segundo o registro, um atacante remoto e não autenticado poderia executar comandos SQL arbitrários no banco de dados. As correções são indicadas nas versões 7.2.10, 7.3.15, 7.4.10 e 7.5.3, e há uma solução paliativa baseada em regras de WAF.