Análises

Uma fraqueza de injeção de comando (CWE-77) na função setUrlFilterRules do manipulador CGI do Totolink A7100RU, versão 7.4cu.2313_b20191024, pode ser acionada remotamente pelo argumento enable. A VulDB classifica como Crítica, com pontuação CVSS 3.1 de 9.8, e informa que há exploit público disponível. O registro não lista versão corrigida, e a CVE não consta no CISA KEV.

A CVE-2026-3596 é uma falha de falta de autorização (CWE-862) no plugin Riaxe Product Customizer para WordPress, que afeta versões até a 2.1.2 inclusive. Segundo o registro, uma ação AJAX não autenticada pode atualizar opções arbitrárias do WordPress, o que poderia ser usado para escalonar privilégios. A CNA classifica a severidade como CVSS 3.1 9.8 (Crítica), e nenhuma versão corrigida consta nas fontes consultadas.

O FalkorDB Browser 1.9.3 possui, segundo o registro, uma falha de path traversal sem autenticação na API de upload de arquivos, que permitiria a atacantes remotos gravar arquivos arbitrários e alcançar execução remota de código. A pontuação CVSS 3.1 registrada é 9.8 (Crítica). Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não traz faixas de versões afetadas nem correções.

O gerenciador de pacotes oma do AOSC OS, em versões anteriores à 1.25.2, não valida o campo name dos Topic Manifests obtidos pelo oma-topics em servidores remotos. Um manifesto malformado pode resultar na gravação de entradas de fonte APT maliciosas no arquivo atm.list. A falha está corrigida na 1.25.2, possui pontuação base CVSS 3.1 de 9.1 e não há exploração confirmada nas fontes consultadas.

O Vendure Core apresenta uma injeção de SQL sem autenticação na Shop API, classificada como crítica com pontuação CVSS 3.1 de 9.1 segundo o GitHub. As faixas afetadas indicadas no registro vão de 1.7.4 até antes de 2.3.4, de 3.0.0 até antes de 3.5.7 e de 3.6.0 até antes de 3.6.2. A atualização para versões corrigidas é a principal medida, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CrowdStrike divulgou a CVE-2026-40050, uma falha crítica de path traversal sem autenticação no LogScale que pode permitir a um atacante remoto ler arquivos arbitrários do servidor quando um endpoint específico da API de cluster está exposto. Segundo o fornecedor, clientes do Next-Gen SIEM não são afetados, os clusters SaaS receberam bloqueios na camada de rede e clientes self-hosted devem atualizar para uma versão corrigida. O registro não informa intervalos de versões afetadas nem versões corrigidas.

As versões 5.x, 6.x e 7.x do Intrado 911 Emergency Gateway (EGW) apresentam uma fragilidade de travessia de diretório no endpoint download_debuglog_file.php. Segundo o registro, um atacante não autenticado poderia ler arquivos fora do diretório pretendido, e o ICS-CERT classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8. As fontes consultadas não listam versões corrigidas nem detalhes das versões afetadas.

A CVE-2026-4880 afeta o plugin Barcode Scanner (+Mobile App) para WordPress nas versões até, inclusive, 1.11.0. O registro descreve uma falha não autenticada, classificada como CWE-269, que pode levar a acesso de nível administrador, com pontuação base CVSS 3.1 de 9.8 atribuída pela Wordfence. Não há exploração confirmada nas fontes consultadas, e o registro não indica versão corrigida.

A CVE-2026-5752 é uma fuga de sandbox no Terrarium que, segundo a descrição publicada da CVE, permite execução arbitrária de código com privilégios de root em um processo hospedeiro por meio de percurso de cadeia de protótipos JavaScript. A pontuação CVSS 3.1 informada pelo CNA é 9.3 (crítica), e o registro ainda está em status Awaiting Analysis. Não há versões afetadas ou corrigidas listadas nas fontes consultadas, então as equipes devem verificar diretamente as orientações do fornecedor.

A CVE-2026-6284 afeta o software Horner Automation Cscape e os PLCs XL4 e XL7, nos quais a complexidade limitada das senhas e a ausência de limites de entrada de senha tornam possível a descoberta de senhas por força bruta por um atacante com acesso de rede ao equipamento. A CNA (ICS-CERT) atribuiu pontuação CVSS 3.1 de 9.1 e CVSS 4.0 de 9.3. Nas fontes consultadas não aparece exploração confirmada, e o registro indica que a vulnerabilidade não consta no catálogo KEV da CISA.

Uma falha na função setStorageCfg do CGI Handler do Totolink A7100RU, firmware 7.4cu.2313_b20191024, permite injeção de comandos no sistema operacional pelo argumento sambaEnabled. O registro indica acesso remoto e a divulgação pública de um exploit, com pontuação CVSS 3.1 de 9.8 atribuída pelo CNA. O CVE não consta no catálogo KEV e o registro não informa versão corrigida.

Foi relatada uma falha de injeção de comando (CWE-77) no CGI Handler do Totolink A7100RU, versão 7.4cu.2313_b20191024, na função setTtyServiceCfg. A CNA VulDB atribui nota 9.8 no CVSS 3.1 e descreve exploração remota, com exploit divulgado publicamente. O registro não indica inclusão no catálogo KEV da CISA nem uma versão corrigida.

A CVE-2026-23751 afeta o Kofax Capture, agora denominado Tungsten Capture, na versão 6.0.0.0 e possivelmente em outras versões. Segundo o registro, um canal HTTP do .NET Remoting obsoleto na porta 2424 pode ser acessado sem autenticação e usa um identificador de endpoint publicamente conhecido. A vulnerabilidade tem severidade crítica (CVSS v3.1 9.8), não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-4810 afeta o Google Agent Development Kit (ADK) nas variantes Python (OSS), Cloud Run e GKE, combinando injeção de código com falta de autenticação segundo o registro. A CNA classifica a falha como crítica, com pontuação CVSS v4.0 de 9.3, e informa que um atacante remoto não autenticado poderia executar código no servidor. O problema é indicado como corrigido nas versões 1.28.1 e 2.0.0a2, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-41248 é um problema crítico nos SDKs JavaScript da Clerk, em que o createRouteMatcher de @clerk/nextjs, @clerk/nuxt e @clerk/astro pode ser contornado por determinadas requisições elaboradas. Um contorno bem-sucedido permite que requisições ignorem o bloqueio do middleware e cheguem a handlers posteriores. O registro lista versões corrigidas para cada ramo afetado, e nenhuma exploração confirmada aparece nas fontes consultadas.