Análises

A versão 3.5.1.35 do Smart Slider 3 Pro para WordPress e Joomla é descrita como portadora de um kit de acesso remoto em múltiplas etapas, inserido por meio de um sistema de atualização comprometido. Segundo o registro, isso permite execução de código sem autenticação e persistência no site, e a severidade informada é crítica (CVSS 3.1, 9,8). Não há exploração confirmada nas fontes consultadas, e o registro não lista versões afetadas nem corrigidas.

A VulDB publicou a CVE-2026-6114, uma falha de injeção de comando de sistema operacional na função setNetworkCfg do arquivo /cgi-bin/cstecgi.cgi do Totolink A7100RU, firmware 7.4cu.2313_b20191024. O registro informa que o ataque pode ser iniciado remotamente e que existe um exploit público, e o CNA classifica a severidade como crítica, com CVSS 3.1 de 9.8. Não há correção do fabricante nem faixa de versões afetadas nas fontes consultadas, por isso é prudente restringir já a exposição da interface de gerenciamento do equipamento.

O codec XWD da biblioteca SAIL pode escrever fora do buffer alocado, porque a rotina de troca de bytes usa um campo de profundidade de pixel que não corresponde ao formato escolhido em outra parte do código. O CNA do GitHub classifica a falha como crítica, com pontuação CVSS 3.1 de 9,8, e o registro aponta um commit de correção. O registro não a lista como explorada, e não há exploração confirmada nas fontes consultadas.

Foi publicada uma falha de injeção de comando (CWE-77) no firmware Totolink A7100RU 7.4cu.2313_b20191024, que afeta a função setTelnetCfg do componente CGI Handler. A VulDB, como CNA, classifica a falha com pontuação 9,8 (crítica) no CVSS 3.1 e descreve exploração remota. O registro informa que existe um exploit público, mas a CVE não consta no catálogo CISA KEV e não há versão corrigida listada.

O V2Board de 1.6.1 até 1.7.4 e o Xboard até 0.1.9 retornam tokens de autenticação nos corpos de resposta HTTP do endpoint loginWithMailLink quando o recurso login_with_mail_link_enable está ativo. O registro indica que uma parte não autenticada que conheça um endereço de e-mail poderia obter um token que leva a acesso completo à conta, incluindo privilégios administrativos. Não há exploração confirmada nas fontes consultadas, e o registro não informa faixas de versões afetadas nem versões corrigidas.

A CVE-2026-34415 afeta o Xerte Online Toolkits na versão 3.15 e anteriores. Uma expressão regular no conector elFinder deixa de bloquear a extensão .php4, e o registro associa essa falha a problemas de bypass de autenticação e path traversal que podem permitir execução de comandos no servidor. O registro informa pontuação CVSS 3.1 de 9.8 (Crítica) e não consta no catálogo KEV da CISA.

A CVE-2026-6025 é uma falha de injeção de comando de sistema operacional na função setSyslogCfg do componente CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024. Segundo o registro, a manipulação do argumento enable leva à injeção de comando, o ataque pode ser lançado remotamente e há um exploit publicamente disponível. O CNA classifica a falha como crítica, com CVSS 3.1 de 9.8, mas nenhuma versão corrigida aparece nas fontes consultadas.

O AWS Ops Wheel não verifica a assinatura de JSON Web Tokens, o que permitiria a um atacante não autenticado forjar um token e obter acesso administrativo não pretendido. O registro associa o problema a endpoints do API Gateway e aponta possível acesso a dados entre tenants e gestão de contas no User Pool do Cognito. A pontuação CVSS 3.1 é 9,8 (crítica), e as fontes consultadas não mostram exploração confirmada.

Os produtos UniFi Play PowerAmp e UniFi Play Audio Port apresentam uma falha de path traversal no firmware, classificada como CWE-22. O CNA atribuiu pontuação CVSS 3.1 de 9,8 (crítica), e a descrição indica que um agente com acesso à rede UniFi Play poderia gravar arquivos que podem viabilizar execução remota de código. A descrição informa versões corrigidas, mas nenhuma exploração confirmada aparece nas fontes consultadas.

Uma fraqueza de injeção de comando (CWE-77) no CGI handler do firmware 7.4cu.2313_b20191024 do Totolink A7100RU pode ser acionada remotamente pelo argumento lan_info. O CNA atribui pontuação CVSS 3.1 9.8 (crítica), e o registro informa que há exploit público disponível. O registro não mostra inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas.

O plugin Create DB Tables para WordPress não aplica verificações de capacidade nem de nonce em suas ações de criação e exclusão de tabelas, por isso qualquer usuário autenticado, inclusive Subscribers, consegue acessá-las. Segundo o registro, isso pode permitir criar e excluir tabelas arbitrárias, incluindo tabelas centrais do WordPress. O registro informa pontuação CVSS 3.1 de 9.1 (crítica), e não há exploração confirmada nas fontes consultadas.

O mailcow: dockerized apresenta uma falha de cross-site scripting armazenado nos logs do Autodiscover exibidos no painel administrativo, em que o valor EMailAddress é renderizado sem escape de HTML. Segundo o registro, o conteúdo pode ser enviado por uma requisição Autodiscover não autenticada e é executado quando um administrador visualiza os logs. O registro informa que a versão 2026-03b corrige o problema, e o CNA classifica a falha como crítica, com pontuação CVSS 4.0 de 9.3.

O MailGates e o MailAudit da Openfind apresentam um estouro de buffer baseado em pilha (CWE-121) que, segundo o registro, pode permitir que atacantes remotos não autenticados influenciem o fluxo de execução do programa e executem código arbitrário. A TWCERT atribuiu pontuação CVSS 3.1 de 9,8 e CVSS 4.0 de 9,3. O registro não lista versões afetadas, versões corrigidas nem exploração confirmada.

O CVE-2026-5387 é uma fraqueza crítica de falta de autorização descrita em um aviso do ICS-CERT, na qual um atacante não autenticado poderia executar operações reservadas aos perfis Simulator Instructor ou Simulator Developer (Administrador). O registro informa pontuação CVSS 4.0 base de 9.3 atribuída pelo CNA, mas as versões afetadas e as correções não constam no registro. Não há exploração confirmada nas fontes consultadas e a CVE não consta no catálogo KEV da CISA.

As versões do ChurchCRM anteriores à 7.2.0 possuem um endpoint de login da API que devolve a chave de API do usuário após verificar apenas usuário e senha, ignorando o bloqueio de conta e a verificação em dois fatores. O registro classifica o problema como bypass de autenticação por caminho alternativo (CWE-288). A correção está na versão 7.2.0, e nenhuma exploração confirmada aparece nas fontes consultadas.