Análises

A biblioteca multiplataforma SAIL apresenta uma escrita fora dos limites (CWE-787) no decodificador RLE do codec TGA, em que o caminho de pacotes brutos não possui a verificação de limites presente no caminho de pacotes de execução. O CNA atribui pontuação 9,8 (Crítica) pelo CVSS 3.1, e o registro referencia o commit 45d48d1f2e8e0d73e80bc1fd5310cb57f4547302 como correção. O registro não traz lista de versões afetadas ou corrigidas nem listagem no catálogo KEV.

O ELBA5 versão 5.8.0 é afetado por uma vulnerabilidade crítica de execução remota de código (CVE-2018-25272) que, segundo o registro, pode ser alcançada por meio de credenciais padrão do conector de banco de dados. A descrição afirma que isso pode expor credenciais do banco e permitir comandos com permissões de nível SYSTEM. O registro não informa nenhuma versão corrigida, e o CVE não consta no catálogo CISA KEV.

A CVE-2026-22336 é uma falha de injeção de SQL (CWE-89) no plugin Directorist Booking para WordPress, que o registro situa em versões anteriores à 3.0.2. O CNA, Patchstack, atribui pontuação base CVSS 3.1 de 9.3 (crítica). O registro não mostra inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas.

Foi relatada uma falha de injeção de comando na função setIpQosRules do CGI Handler do Totolink A7100RU, firmware 7.4cu.2313_b20191024, acionada pelo argumento Comment. A CNA VulDB classifica como crítica, com pontuação base CVSS 3.1 de 9.8, e informa que a exploração remota é possível e que existe exploit divulgado publicamente. O CISA KEV não a lista e não há exploração ativa confirmada nas fontes consultadas.

A CVE-2026-5854 é uma injeção de comandos do sistema operacional (CWE-77), de severidade crítica, na função setWiFiEasyCfg do componente CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024. A CNA VulDB informa pontuação CVSS 3.1 de 9,8 e afirma que o problema pode ser explorado remotamente, com exploit público disponível. As fontes consultadas não apontam exploração confirmada na natureza, e o registro não lista versões afetadas nem corrigidas.

O Pachno 1.0.6 teria uma falha de desserialização (CWE-502) em que arquivos de cache com nomes previsíveis e permissões de escrita para todos podem conter objetos PHP desserializados durante a inicialização do framework, antes da autenticação. A pontuação CVSS 3.1 base de 9.8 é informada com vetor de rede, sem privilégios e sem interação do usuário. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não traz dados de versões afetadas ou corrigidas.

Versões do Jellystat anteriores à 1.1.10 montam consultas SQL inserindo campos do corpo da requisição sem sanitização, o que permite injeção de SQL por um usuário autenticado. O aviso descreve possível leitura completa do banco, incluindo credenciais armazenadas de administrador e do Jellyfin, além de escalonamento para execução de comandos no host PostgreSQL. A versão 1.1.10 contém a correção e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

A CVE-2026-7037 é uma falha de injeção de comando (CWE-77) na função setVpnPassCfg do CGI Handler do Totolink A8000RU, firmware 7.1cu.643_b20200521. Segundo a CNA VulDB, pode ser explorada remotamente e um exploit foi divulgado publicamente. Nas fontes consultadas não há exploração ativa confirmada, e o registro não lista versões afetadas nem corrigidas.

O Vvveb CMS 1.0.8.2 possui uma instrução return ausente no manipulador de renomeação de arquivos da mídia, o que permite que usuários autenticados renomeiem arquivos para extensões bloqueadas, como .php e .htaccess. O registro informa CVSS 3.1 9.1 (crítico) e CWE-434, upload irrestrito de arquivo de tipo perigoso. A vulnerabilidade não consta no catálogo CISA KEV e não há exploração confirmada nas fontes consultadas.

Foi relatada uma fraqueza de injeção de comando (CWE-77) na função setRadvdCfg do Totolink A7100RU, versão 7.4cu.2313_b20191024, acessível pelo handler CGI em /cgi-bin/cstecgi.cgi. O registro descreve exploração remota pelo argumento maxRtrAdvInterval e afirma que existe um exploit público. A CNA atribui pontuação base CVSS 3.1 de 9.8, e nenhuma versão corrigida consta nas fontes consultadas.

A CVE-2019-25714 afeta o Seeyon OA A8 e, conforme descrito no registro, permite que um atacante remoto sem autenticação grave arquivos arbitrários no diretório raiz da aplicação web pelo endpoint /seeyon/htmlofficeservlet. O registro classifica a falha como CWE-434 e informa uma pontuação base CVSS 4.0 de 9,3 atribuída pela VulnCheck, além de indicar que a Shadowserver Foundation observou evidências de exploração em 2021-03-26 (UTC). Não há lista de versões afetadas, informação de correção nem inclusão no catálogo KEV no registro.

A CVE-2026-39440 é uma vulnerabilidade de injeção de código (CWE-94) no FunnelFormsPro, da Funnelforms LLC, que permite inclusão remota de código nas versões indicadas como de n/a até 3.8.1. O CNA Patchstack classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.9. O registro não informa uma versão corrigida e a falha não consta no catálogo KEV da CISA.

A CVE-2026-22563 reúne vulnerabilidades de Validação Imprópria de Entrada (CWE-20) no UniFi Play PowerAmp e no UniFi Play Audio Port que podem permitir injeção de comando por um agente com acesso à rede UniFi Play. O registro informa pontuação CVSS 3.1 de 9,8 (crítica) e indica as versões corrigidas 1.0.38 para o PowerAmp e 1.1.9 para o Audio Port. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.

A CVE-2026-5978 é uma falha de injeção de comando (CWE-77) na função setWiFiAclRules do CGI Handler do Totolink A7100RU, conforme descrito pela CNA VulDB. A CNA atribui pontuação base CVSS 3.1 de 9.8 e o registro indica que o ataque pode ser iniciado remotamente. O registro também informa que um exploit foi divulgado publicamente, mas não há exploração confirmada no campo nas fontes consultadas.

A CVE-2026-5975 é uma falha de injeção de comando do sistema operacional na função setDmzCfg do CGI Handler do Totolink A7100RU, firmware 7.4cu.2313_b20191024. A CNA classifica como crítica, com pontuação CVSS 3.1 de 9.8, e o registro informa que há exploit público disponível. O registro não traz versão corrigida e a CVE não consta no catálogo KEV da CISA.