Análises

Uma falha na função setPptpServerCfg do CGI Handler do Totolink A7100RU, no firmware 7.4cu.2313_b20191024, permite injeção de comando do sistema operacional por meio do argumento enable (CWE-77). O CNA classifica a severidade como crítica, com pontuação base CVSS 3.1 de 9.8, e informa que o ataque pode ser iniciado remotamente. O registro indica que um exploit foi divulgado publicamente, mas a CVE não consta no catálogo KEV da CISA.

A CVE-2026-5993 é uma falha de injeção de comando (CWE-77) na função setWiFiGuestCfg do CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024, acionada pelo argumento wifiOff e alcançável remotamente. A CNA vuldb atribuiu pontuação CVSS 3.1 de 9.8 e o registro informa que há exploit publicamente disponível. O registro não aponta inclusão no catálogo KEV da CISA e não traz dados de versões afetadas ou corrigidas.

A CVE-2026-39399 afeta o NuGet Gallery, software que sustenta o nuget.org, e é descrita como validação de entrada insuficiente no tratamento de arquivos .nuspec pelo job de backend, o que permite injeção de metadados e gravação arbitrária de blobs no armazenamento. O registro classifica a falha como crítica, com pontuação CVSS v3.1 de 9.6, e informa que foi corrigida em um commit específico. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-20184 afeta a integração de single sign-on entre o Cisco Webex Services e o Control Hub. A falha decorre de validação imprópria de certificados e, segundo o registro, poderia permitir que um invasor remoto não autenticado se passasse por qualquer usuário do serviço. O registro informa pontuação CVSS 3.1 de 9,8 (crítica) e ausência de inclusão no catálogo KEV, mas não lista versões afetadas nem versões corrigidas.

A CVE-2026-6131 é uma falha de injeção de comando do sistema operacional (CWE-77) na função setTracerouteCfg do componente CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024, acessível pelo arquivo /cgi-bin/cstecgi.cgi. A CNA VulDB atribui nota 9,8 (crítica) no CVSS 3.1 e informa que a exploração pode ser remota e que existe exploit público. A vulnerabilidade não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

A CVE-2026-5851 é uma falha de injeção de comando na função setUPnPCfg do componente CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024, acessível remotamente pelo caminho /cgi-bin/cstecgi.cgi. A CNA VulDB atribui pontuação 9,8 no CVSS 3.1, e o registro informa que um exploit foi divulgado publicamente. O registro não aponta inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.

A CVE-2026-25775 afeta o serviço de gerenciamento remoto do SenseLive X3050, que permite operações de recuperação e atualização de firmware sem autenticação ou autorização. O aviso ICS da CISA classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8 e CVSS 4.0 de 9.3 atribuída pelo mesmo CNA. As fontes consultadas não informam versões afetadas ou corrigidas, nem exploração confirmada.

Uma vulnerabilidade no CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024 permite injeção de comando do sistema operacional pela função setLoginPasswordCfg, segundo o registro da CNA VulDB. O registro indica que o ataque pode ser feito remotamente e informa pontuação CVSS 3.1 de 9.8 (crítica). Há menção a exploit público, mas o CVE não consta na KEV da CISA e nenhuma versão corrigida aparece nas fontes consultadas.

A CVE-2026-5059 é uma falha crítica de injeção de comando no sistema operacional (CWE-78) no aws-mcp-server, divulgada pela Zero Day Initiative. Segundo o registro, um atacante remoto sem autenticação poderia executar código no contexto do servidor MCP. O CNA publicou pontuação CVSS 3.0 de 9.8, mas o registro não lista versões afetadas, correções nem exploração confirmada.

A CVE-2026-6155 descreve uma fraqueza de injeção de comando no sistema operacional (CWE-77) na função setWanCfg do CGI Handler do Totolink A7100RU 7.4cu.2313, acionada pelo argumento pppoeServiceName. O CNA atribui nota 9,8 (crítica) no CVSS 3.1 e informa que o ataque pode ser feito remotamente. O registro indica que um exploit está público, mas a CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-5977 é uma falha crítica de injeção de comando no sistema operacional (CWE-77) no CGI Handler do Totolink A7100RU, que afeta a versão 7.4cu.2313_b20191024 conforme indicado no registro. Segundo o registro, a manipulação do argumento wifiOff da função setWiFiBasicCfg pode levar à injeção de comandos e o ataque pode ser feito remotamente. A descrição informa que um exploit está disponível publicamente, mas o registro não mostra inclusão no catálogo KEV nem exploração confirmada na natureza.

A CVE-2026-5426 descreve uma machineKey de ASP.NET/IIS fixa (hard-coded) em implantações do KnowledgeDeliver da Digital Knowledge anteriores a 24 de fevereiro de 2026. Segundo o registro, isso permite contornar a validação do ViewState e alcançar execução remota de código por meio de desserialização maliciosa do ViewState. A pontuação CVSS 3.1 base de 9,1 é classificada como crítica, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-6264 é uma falha crítica no Talend JobServer e no Talend Runtime que, segundo o registro, permite execução remota de código sem autenticação pela porta de monitoramento JMX. A pontuação base CVSS 3.1 atribuída pelo CNA é 9.8, e o registro descreve medidas de mitigação como exigir autenticação de cliente TLS na porta de monitoramento e desabilitar essa porta, mas indica que o patch é necessário para mitigação completa. Não há exploração confirmada nas fontes consultadas, e o registro não lista versões afetadas nem versões corrigidas.

A CVE-2026-6195 é uma falha crítica de injeção de comando (CWE-77) relatada na função setPasswordCfg do manipulador CGI do Totolink A7100RU, versão 7.4cu.2313_b20191024. A CNA atribui CVSS 3.1 9,8 e informa que o ataque pode ser feito remotamente e que já há exploit divulgado publicamente. O registro não traz versões afetadas nem corrigidas, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

O CVE-2026-1555 afeta o tema WebStack para WordPress, em que a ausência de validação de tipo de arquivo na função io_img_upload() permite que usuários não autenticados enviem arquivos arbitrários, conforme a descrição do registro. A CNA Wordfence classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8, e o registro indica que execução remota de código pode ser possível. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não informa versão corrigida.