Análises

Uma vulnerabilidade na função setPptpServerCfg do arquivo /cgi-bin/cstecgi.cgi do Totolink A8000RU, versão 7.1cu.643_b20200521, permite injeção de comando de sistema operacional por meio do argumento enable, podendo ser iniciada remotamente segundo o registro. A VulDB classifica como crítica, com CVSS 3.1 de 9.8, e a exploração foi divulgada publicamente. O registro não indica inclusão no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-42613 afeta o plugin Login da plataforma web baseada em arquivos Grav. Segundo o registro, o método Login::register() aceita valores de groups e access enviados no POST de cadastro sem validação no servidor, o que pode permitir que um usuário não autenticado se registre com privilégios admin.super quando esses campos estão permitidos. O registro indica que a correção está na versão 2.0.0-beta.2.

A CVE-2026-41923 afeta o extensor WiFi WDR201A (HW V2.1, FW LFMZX28040922V1.02) e é uma falha de injeção de comando no sistema operacional (CWE-78) no binário internet.cgi, que o registro indica ser acessível sem autenticação. A VulnCheck atribui pontuação 9.3 no CVSS 4.0, e o registro classifica a severidade como crítica. As fontes consultadas não mostram versão corrigida nem inclusão no catálogo KEV, portanto dispositivos afetados devem ser tratados como expostos até que o fabricante publique orientações.

Uma falha de injeção de comando na função CsteSystem acessada por /cgi-bin/cstecgi.cgi no firmware 7.1cu.643_b20200521 do Totolink A8000RU pode ser acionada remotamente, segundo a CNA VulDB. A CNA classifica como crítica, com pontuação CVSS 3.1 de 9.8, e o registro informa que existe um exploit público. O registro não mostra inclusão no catálogo KEV da CISA, exploração confirmada nem versão corrigida.

Uma falha crítica de injeção de comando (pontuação CVSS 3.1 de 9.8) em algumas versões do Hikvision iSecure Center pode permitir que atacantes obtenham privilégios de plataforma e executem comandos arbitrários. O produto foi lançado apenas para o mercado doméstico chinês. Não há exploração confirmada nas fontes consultadas, e o registro não informa versões afetadas nem corrigidas.

A CVE-2026-41930 afeta versões do Vvveb anteriores à 1.0.8.2 e decorre de credenciais de banco de dados fixas no arquivo docker-compose-apache.yaml, que implanta um contêiner do phpMyAdmin incluído. Segundo o registro, um atacante não autenticado pode acessar todo o banco do Vvveb, incluindo hashes de senhas de administradores e dados de clientes e pedidos. O registro classifica a severidade como crítica (CVSS 3.1 de 9.8) e indica que a falha não consta no catálogo KEV da CISA.

A versão 0.31.4.0 do CI4MS é afetada por um XSS armazenado do tipo DOM no campo de nome de arquivo do módulo de backup, que, segundo o registro, pode levar à tomada de controle total de contas e ao escalonamento de privilégios. O problema é indicado como corrigido na versão 0.31.5.0 e recebe pontuação CVSS 3.1 crítica de 9.1. O registro não mostra inclusão no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

Foi relatada uma fraqueza de injeção de comando (CWE-77) na função setWiFiBasicCfg do componente CGI Handler do Totolink A8000RU, firmware 7.1cu.643_b20200521. A CNA VulDB atribui nota 9.8 pelo CVSS 3.1 e descreve exploração remota com exploit público, mas o registro não lista versão corrigida e o produto não consta no KEV da CISA.

A CVE-2023-28814 é uma falha crítica de controle impróprio de upload de arquivos (CWE-434) em algumas versões do produto iSecure Center da Hikvision, segundo a descrição do CNA. Como os arquivos enviados não são verificados adequadamente, um atacante pode conseguir colocar arquivos maliciosos no servidor. As fontes consultadas não informam versões afetadas nem versões corrigidas, e a vulnerabilidade não consta no catálogo KEV da CISA.

A CVE-2026-42076 afeta o Evolver, um motor de auto-evolução para agentes de IA, em versões anteriores à 1.69.3. Uma falha de injeção de comando em _extractLLM() pode permitir que um atacante execute comandos arbitrários no servidor quando o parâmetro corpus contém metacaracteres de shell. O registro informa pontuação CVSS 3.1 de 9.8 (crítica) e indica que a versão 1.69.3 contém a correção.

As versões do SEPPmail Secure Email Gateway anteriores à 15.0.4 apresentam uma falha de falta de autorização (CWE-862) em vários endpoints da nova GINA UI. O CNA classifica o problema como crítico, com pontuação CVSS 4.0 de 9.3, e o registro descreve acesso remoto sem autenticação a funções que deveriam exigir uma sessão válida. Não há inclusão no catálogo KEV da CISA nos dados consultados.

A CVE-2026-6795 é uma fragilidade de open redirect (CWE-601) no DivvyDrive, publicada em 07/05/2026, com pontuação CVSS 3.1 de 9.6 (crítica) atribuída pelo CNA. O registro indica que as versões a partir de 4.8.2.9 e anteriores a 4.8.3.2 são afetadas. Não há exploração confirmada no catálogo KEV da CISA nem nas demais fontes consultadas, e o registro não informa explicitamente a versão corrigida.

A CVE-2026-22337 é uma falha de atribuição incorreta de privilégios (CWE-266) no plugin WordPress Directorist Social Login que, segundo o registro, permite escalonamento de privilégios. O registro informa pontuação CVSS 3.1 de 9,8 atribuída pelo CNA Patchstack e versões afetadas anteriores à 2.1.4. A CVE não consta no catálogo KEV da CISA no registro e não há exploração confirmada nas fontes consultadas.

A CVE-2026-6132 é uma falha de injeção de comando (CWE-77) na função setLedCfg do componente CGI Handler do Totolink A7100RU, acionada pelo argumento enable. A CNA informa pontuação CVSS 3.1 base de 9.8 e afirma que a exploração remota é possível e que há exploit divulgado publicamente. O registro não lista versão corrigida e esta CVE não consta no catálogo KEV da CISA.

O NewSoftOA, da NewSoft, apresenta uma falha crítica de injeção de comando do sistema operacional (CWE-78) que o CNA TWCERT/CC descreve como capaz de permitir que atacantes não autenticados executem comandos arbitrários no servidor. A pontuação CVSS 3.1 é 9.8, e o registro não traz versões afetadas nem corrigidas. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.