Análises

O plugin Piotnet Addons for Elementor Pro para WordPress apresenta falha de upload irrestrito de arquivos (CWE-434) em seu construtor de formulários, segundo o registro. A descrição indica que todas as versões até a 7.1.70 inclusive são afetadas e que atacantes não autenticados podem enviar arquivos, o que pode viabilizar execução remota de código. A Wordfence classificou a severidade como crítica (CVSS 3.1, pontuação 9.8), e as fontes consultadas não mostram exploração confirmada.

Versões do phpMyFAQ anteriores à 4.1.2 contêm uma restrição inadequada de tentativas excessivas de autenticação (CWE-307) no endpoint /admin/check, segundo o registro analisado. A descrição indica ausência de vínculo à sessão e de limitação de taxa, o que pode permitir contornar a autenticação de dois fatores sem credenciais. O registro informa pontuação CVSS 3.1 de 9.1 e não há exploração confirmada nas fontes consultadas.

O plugin Avada Fusion Builder para WordPress, nas versões até a 3.15.2 inclusive, é afetado por uma falha de execução remota de código sem autenticação, classificada como injeção (CWE-74). A Wordfence informa pontuação CVSS 3.1 de 9.8 (crítica), e o registro não lista versão corrigida. O CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

O firmware Totolink A8000RU 7.1cu.643_b20200521 contém uma falha de injeção de comando de sistema operacional na função setDdnsCfg da sua interface de gerenciamento web. O registro descreve exploração remota, com exploit publicamente disponível, e classifica a severidade como crítica.

A CVE-2026-42774 é uma falha de injeção de SQL (CWE-89) no Crocoblock JetEngine, com versões afetadas listadas no registro como de n/a até 3.8.8.1. A Patchstack, CNA responsável, atribui pontuação base CVSS 3.1 de 9.3 (crítica), mas o registro não traz dados estruturados de versões afetadas ou corrigidas. A CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-33137 afeta o XWiki Platform. A API POST /wikis/{wikiName} executa uma importação de XAR sem verificar autenticação nem autorização, o que pode permitir que um atacante não autenticado crie ou altere documentos na wiki de destino. O registro indica pontuação CVSS 4.0 de 9.3 atribuída pelo GitHub Security Advisories, e as versões corrigidas informadas pelo fornecedor são 16.10.17, 17.4.9, 17.10.3, 18.0.1 e 18.1.0-rc-1.

Versões do Algernon anteriores à 1.17.7 pesquisam diretórios pais, além da raiz configurada do servidor, em busca de um arquivo handler.lua quando um diretório sem índice é requisitado. O primeiro arquivo encontrado é carregado no interpretador Lua com toda a API do Algernon, e o registro descreve o problema como alcançável sem autenticação. O registro indica correção na versão 1.17.7, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-42756 afeta o plugin QuickWebP para WordPress, de compressão de imagens e conversão para WebP, nas versões até 3.2.7, com falha registrada de path traversal (CWE-22). O título do registro descreve o efeito como exclusão arbitrária de arquivos, e a Patchstack classificou a severidade como crítica, com CVSS 3.1 de 9.9. O registro não lista versão corrigida, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-4320 é um bypass de autorização no software ICMS da Creartia que pode permitir a um atacante acessar funcionalidades protegidas e escalar privilégios sem credenciais, ao manipular o comportamento de redirecionamentos HTTP no processo de login. O INCIBE, CNA responsável, classifica-a como crítica, com pontuação base CVSS 4.0 de 9.3. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas, e o registro não informa versões afetadas nem corrigidas.

A CVE-2026-8467 é uma falha crítica de injeção de código (CWE-94) no phoenix_storybook da Phenixdigital que permite execução remota de código sem autenticação, por meio de valores de atributos não sanitizados na geração de templates HEEx. O registro informa pontuação CVSS 4.0 base 9.5 do CNA e afeta versões a partir de 0.5.0 até antes de 1.1.0, havendo um commit de correção referenciado. Não há exploração confirmada no mundo real nas fontes consultadas; a atualização para 1.1.0 ou superior é a principal medida de remediação.

O módulo Crypt::OpenSSL::PKCS12 para Perl, nas versões até a 1.94, descarta silenciosamente os bytes de senha a partir de um byte NULL embutido, reduzindo a entropia sem emitir aviso. O registro no NVD atribui pontuação base CVSS 3.1 de 9.8 (crítica) e CWE-170. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas, e o registro não lista versões afetadas nem corrigidas.

A CVE-2026-44449 afeta o Lumiverse anterior à versão 0.9.7. Quando a conversão principal de caminho falha, um mecanismo alternativo valida apenas o diretório, e o nome-base não validado pode chegar a um script do smbclient e ser interpretado como comandos. O CNA classifica como crítica, com CVSS 3.1 de 9.1, e as fontes consultadas não mostram exploração confirmada.

O SearchService do Altium 365 expõe um endpoint SOAP legado que executa operações sobre o índice de busca sem autenticação, segundo o registro da CVE. Um atacante remoto não autenticado que conheça o identificador de um workspace pode ler ou alterar o índice de busca desse workspace, atravessando limites entre tenants. A CNA atribui pontuação base 10 no CVSS v4.0, e o registro informa que o Altium Enterprise Server local não é afetado.

A CVE-2026-44444 afeta versões do Lumiverse anteriores à 0.9.7. O pipeline de build de extensões Spindle executa bun install sem ignorar scripts de ciclo de vida antes da verificação estática de segurança do backend, permitindo que uma extensão maliciosa execute código no host quando um administrador inicia a instalação. O registro indica severidade crítica, com CVSS 3.1 de 9.1, e nenhuma exploração confirmada nas fontes consultadas.

O firmware Totolink A8000RU 7.1cu.643_b20200521 apresenta falha de injeção de comando de SO (CWE-77) na interface web de gerenciamento, explorável remotamente segundo a descrição do registro. A CNA atribui nota 9,8 no CVSS 3.1, e o registro informa que um exploit foi divulgado publicamente. Não há versão corrigida listada e o CVE não consta no catálogo KEV da CISA.