Análises

A CVE-2026-3461 afeta o plugin Visa Acceptance Solutions para WordPress em todas as versões até a 2.1.0, inclusive. Segundo o registro, o checkout de convidado para produtos de assinatura pode autenticar um usuário apenas com base em um endereço de e-mail de cobrança, permitindo que um agente não autenticado assuma contas existentes, inclusive de administradores. O registro indica pontuação CVSS 3.1 de 9,8 (crítica), não informa versão corrigida e não traz exploração confirmada nas fontes consultadas.

Versões do Vvveb anteriores à 1.0.8.1 contêm uma falha de injeção de código no endpoint de instalação, em que o parâmetro POST subdir é gravado no arquivo de configuração env.php sem escape ou validação. O registro descreve a possibilidade de execução remota de código sem autenticação com os privilégios do usuário do servidor web, e a severidade é crítica com CVSS 3.1 9.8. Nenhuma exploração confirmada aparece nas fontes consultadas.

Foi relatada uma falha de injeção de comando (CWE-77) na função setAdvancedInfoShow do CGI Handler da Totolink A7100RU, versão 7.4cu.2313_b20191024, por meio do argumento tty_server. A CNA VulDB classifica a falha como crítica, com CVSS 3.1 de 9.8. O registro informa que o exploit foi divulgado publicamente, mas o CVE não consta no CISA KEV e nenhuma versão corrigida aparece nas fontes consultadas.

Uma falha de injeção de comando (CWE-77) na função setAccessDeviceCfg do CGI Handler do Totolink A7100RU pode ser acionada remotamente pelo argumento mac. A CNA VulDB classifica a severidade como CVSS 3.1 9.8 (Crítica) e informa que um exploit público foi publicado. O registro não mostra inclusão no catálogo KEV da CISA nem exploração ativa confirmada nas fontes consultadas.

A CVE-2026-39920 afeta versões do BridgeHead FileStore anteriores à 24A, nas quais o módulo de administração do Apache Axis2 fica acessível pela rede com credenciais padrão. Segundo o registro, atacantes remotos não autenticados poderiam executar comandos arbitrários no sistema operacional. A pontuação CVSS 3.1 é 9.8 (crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.

Uma falha de injeção de comando na função setWizardCfg do CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024 pode ser acionada remotamente, segundo o registro. A CNA VulDB classifica como crítica, com pontuação CVSS 3.1 de 9.8, e o registro informa que um exploit público foi divulgado. O CVE não consta no CISA KEV e o registro não traz versão corrigida.

Uma falha no ArgoCD Image Updater permite que um usuário com permissão para criar ou modificar um recurso ImageUpdater ultrapasse limites de namespace em ambientes multi-tenant. Segundo o registro, isso possibilita atualizações de imagem não autorizadas em aplicações de outros tenants, com escalonamento de privilégios entre namespaces. O CNA classifica como crítica (CVSS 3.1, pontuação 9.1), mas o registro não informa versão corrigida e nas fontes consultadas não há exploração confirmada.

O plugin Sendmachine para WordPress, em todas as versões até a 1.0.20 inclusive, não verifica adequadamente a autorização do usuário na função manage_admin_requests, classificada como CWE-862. Segundo o registro analisado, um atacante não autenticado poderia sobrescrever a configuração SMTP do plugin e interceptar e-mails enviados pelo site, incluindo mensagens de redefinição de senha. A pontuação base CVSS 3.1 é 9.8 (crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.

As versões do FreeScout anteriores à 1.8.215 extraem arquivos ZIP durante a instalação de módulos sem validar os caminhos, caracterizando um path traversal do tipo Zip Slip (CWE-22). Segundo o registro, um administrador autenticado poderia usar um arquivo compactado malicioso para gravar arquivos em locais arbitrários do servidor, condição associada pela fonte a possível execução remota de código. A versão 1.8.215 é indicada como correção.

Uma vulnerabilidade na função setDiagnosisCfg do CGI Handler do Totolink A7100RU, na versão de firmware 7.4cu.2313_b20191024, permite injeção de comando de sistema operacional pelo argumento ip, segundo o registro do CNA VulDB. O CNA classifica como crítica, com CVSS v3.1 de 9.8, informa que a exploração remota é possível e que um exploit foi divulgado publicamente. A CVE não consta no catálogo KEV da CISA e o registro não informa versão corrigida.

A CVE-2026-6029 é uma falha de injeção de comando de sistema operacional na função setVpnAccountCfg do handler CGI do Totolink A7100RU na versão 7.4cu.2313_b20191024, explorável remotamente pelo argumento User. A VulDB atribui pontuação 9.8 (crítica) pelo CVSS 3.1 e o registro aponta uma referência pública de exploit, mas os dados consultados não indicam inclusão no catálogo KEV nem exploração confirmada. Nenhuma versão corrigida aparece nas fontes, então os responsáveis devem confirmar o status de correção com o fabricante.

A CVE-2026-6140 é uma falha de injeção de comando (CWE-77) na função UploadFirmwareFile do CGI Handler do Totolink A7100RU 7.4cu.2313_b20191024, acessível remotamente pelo argumento FileName. O registro traz pontuação CVSS 3.1 de 9,8 (crítica) fornecida pela CNA e afirma que existe um exploit público. O CISA KEV não a lista e não há exploração confirmada nas fontes consultadas.

O Creolabs Gravity antes da versão 0.9.6 apresenta um estouro de buffer baseado em heap na função gravity_vm_exec, que pode ser acionado por conteúdo de script malformado. O registro informa pontuação CVSS 3.1 de 9.8 (crítica) e descreve possível execução de código em aplicações que avaliam scripts não confiáveis. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

Uma falha de injeção de comando na função UploadOpenVpnCert do CGI Handler do roteador Totolink A7100RU, versão de firmware 7.4cu.2313_b20191024, permite que um argumento FileName manipulado execute comandos do sistema operacional remotamente. A CNA VulDB classifica como crítica, com pontuação CVSS 3.1 base de 9.8, e o registro informa que o exploit foi divulgado publicamente. O CISA KEV não lista esta CVE e não há exploração confirmada nas fontes consultadas.

A CVE-2026-22564 é uma fragilidade de Controle de Acesso Inadequado (CWE-284) nos produtos UniFi Play PowerAmp e UniFi Play Audio Port. Segundo o registro, um agente malicioso com acesso à rede UniFi Play poderia habilitar SSH e realizar alterações não autorizadas no sistema. O registro indica versões corrigidas para ambos os produtos, e nenhuma exploração confirmada aparece nas fontes consultadas.