Análises

A SAP publicou a CVE-2026-27681, que afeta o SAP Business Planning and Consolidation e o SAP Business Warehouse. Verificações de autorização insuficientes permitem que um usuário autenticado execute instruções SQL elaboradas capazes de ler, modificar e excluir dados do banco de dados. O registro classifica a severidade como crítica, com pontuação CVSS v3.1 de 9.9, e associa a falha ao CWE-89, mas não lista versões afetadas nem corrigidas, por isso as referências da SAP devem ser consultadas diretamente.

A CVE-2026-42363 afeta a funcionalidade de Device Authentication do GeoVision GV-IP Device Utility 9.0.5. Segundo o registro, credenciais de dispositivos enviadas em certos pacotes UDP de broadcast são protegidas por um esquema fraco derivado do Blowfish, cuja chave acompanha o próprio pacote, o que pode permitir a recuperação por um atacante na mesma LAN. O registro informa pontuação CVSS 3.1 de 9.3, mas não traz versões afetadas, versões corrigidas nem exploração confirmada nas fontes consultadas.

A CVE-2026-40258 é uma falha de travessia de caminho (Zip Slip) na funcionalidade de importação de arquivos de mídia do Gramps Web API, que afeta as versões 1.6.0 até 3.11.0. Segundo o registro, um usuário autenticado com privilégios de proprietário poderia usar um arquivo ZIP especialmente construído para gravar arquivos fora do diretório temporário de extração. A descrição indica que a versão 3.11.1 passou a validar os caminhos das entradas em relação ao diretório temporário e interrompe a importação quando alguma entrada fica fora dele.

As versões do FreeScout anteriores à 1.8.213 permitem que um administrador autenticado sobrescreva campos protegidos da caixa de correio pelos handlers de salvamento das configurações de conexão, uma falha de atribuição em massa classificada como controle de acesso inadequado. O registro classifica a severidade como crítica, com pontuação CVSS 3.1 de 9.0, e informa que a versão 1.8.213 corrige o problema. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-41197 afeta a toolchain da linguagem Noir quando o bytecode Brillig é gerado para chamadas externas que retornam arrays aninhados de tipos compostos, como tuplas. A alocação de memória para arrays aninhados usa a quantidade lógica de elementos em vez do número de slots semi-achatados, o que subaloca o heap e pode corrompê-lo. O aviso do GitHub registra pontuação CVSS 4.0 de 9.3 e informa que a versão 1.0.0-beta.19 corrige o problema.

A CVE-2026-40959 é uma vulnerabilidade crítica no Luanti 5 anterior à 5.15.2 quando o LuaJIT é utilizado, permitindo escapar do sandbox Lua por meio de um mod malicioso. O registro atribui pontuação 9,3 pelo CVSS 3.1, com vetor local e sem necessidade de privilégios ou interação do usuário. Não há exploração confirmada nas fontes consultadas, e os dados estruturados de versões afetadas e corrigidas ainda estão vazios.

O Breeze Cache para WordPress, nas versões até 2.4.4 inclusive, apresenta uma falha de upload arbitrário de arquivos sem autenticação na função fetch_gravatar_from_remote. O registro atribui pontuação CVSS 3.1 de 9.8 e indica que a exploração depende da opção de hospedagem local de Gravatars, que vem desabilitada por padrão. Nenhuma versão corrigida consta no registro e a CVE não está no catálogo KEV da CISA.

A Wordfence informa que todos os plugins da Essentialplugin para WordPress contêm um backdoor injetado, supostamente incluído após a venda do plugin a um agente malicioso. Segundo a descrição, o backdoor permite acesso persistente e injeção de spam. O registro atribui pontuação CVSS 3.1 de 9.8 e não indica exploração ativa confirmada nas fontes consultadas.

O CVE-2026-6115 é uma falha de injeção de comando na função setAppCfg do arquivo /cgi-bin/cstecgi.cgi do Totolink A7100RU, relatada na versão de firmware 7.4cu.2313_b20191024. O registro informa que a manipulação do argumento enable pode levar à injeção de comando no sistema operacional, que o ataque pode ser feito remotamente e que existe um exploit publicado. A pontuação CVSS 3.1 atribuída pelo CNA é 9.8 (crítica), mas não foi encontrada inclusão no KEV nem exploração confirmada nas fontes consultadas.

As versões do ChurchCRM anteriores à 7.2.0 copiam arquivos do diretório Images/ de um arquivo de backup enviado para a raiz de documentos acessível pela web, sem filtrar extensões. Segundo o registro, um administrador autenticado pode usar essa falha para posicionar um webshell PHP e obter execução remota de código como usuário do servidor web, e o endpoint de restauração também não valida CSRF. O problema está corrigido na versão 7.2.0, e o registro não mostra inclusão no catálogo KEV da CISA.

Foi relatada uma fraqueza de injeção de comando (CWE-77) na função setIptvCfg do CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024. Segundo o CNA, o argumento igmpVer pode ser manipulado remotamente para executar comandos do sistema operacional, e o registro informa que um exploit foi tornado público. O CNA atribui CVSS 3.1 9.8 (crítica), e o CISA KEV não lista a vulnerabilidade.

O Hot Chocolate, servidor GraphQL de código aberto para .NET, possui um parser sem limite de profundidade de recursão, o que permite que documentos GraphQL com aninhamento excessivo estourem a pilha e derrubem o processo do worker. O registro atribui pontuação 9.1 e descreve correções nas versões 12.22.7, 13.9.16, 14.3.1 e 15.1.14. Não há exploração confirmada nas fontes consultadas.

Uma fraqueza de cross-site scripting refletido (CWE-79) afeta o Rukovoditel CRM 3.6.4 e versões anteriores no endpoint de API de telefonia Zadarma. O registro informa que o parâmetro GET 'zd_echo' é devolvido na resposta HTTP sem sanitização, codificação de saída ou restrições de tipo de conteúdo adequadas. O CNA classifica o problema como crítico, com pontuação CVSS 3.1 de 9,3, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-5853 é uma falha de injeção de comando no sistema operacional (CWE-77) na função setIpv6LanCfg do CGI Handler do Totolink A7100RU, firmware 7.4cu.2313_b20191024. A CNA a classifica como crítica, com CVSS 3.1 de 9.8 e vetor de ataque pela rede, sem necessidade de privilégios ou interação do usuário. O registro afirma que um exploit foi divulgado publicamente, mas o catálogo KEV da CISA não a lista e não há exploração confirmada nas fontes consultadas.

O Pachno 1.0.6 contém uma falha de injeção de entidade externa XML no auxiliar TextParser que, segundo o registro, pode ser acessada sem autenticação. O impacto descrito é a leitura de arquivos arbitrários, com pontuação base CVSS 3.1 de 9,8 (crítica). Não há exploração confirmada nas fontes consultadas e a CVE não consta no catálogo KEV da CISA.