Análises

Foi reportada uma falha de injeção de comando (CWE-77) na função setPortalConfWeChat do firmware Totolink A7100RU 7.4cu.2313_b20191024, acessível pelo manipulador CGI em /cgi-bin/cstecgi.cgi. A CNA atribuiu pontuação CVSS 3.1 de 9.8 (crítica), e o registro indica que um exploit foi divulgado publicamente. A vulnerabilidade não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

A CVE-2026-2449 é uma fragilidade de injeção de argumento (CWE-88) no upKeeper Instant Privilege Access, descrita pelo CNA como capaz de permitir o sequestro de uma thread de execução privilegiada. A pontuação CVSS v4.0 fornecida pelo CNA é 9, classificada como crítica, e o registro ainda está aguardando análise. Não há exploração confirmada nas fontes consultadas.

O excel-mcp-server, servidor do Model Context Protocol para manipulação de arquivos Excel, apresenta falha de path traversal (CWE-22) nas versões até a 0.1.7 quando usado com transporte SSE ou Streamable-HTTP. Segundo o registro, um atacante não autenticado na rede pode ler, gravar e sobrescrever arquivos arbitrários do host, e a correção está na 0.1.8. O registro informa pontuação CVSS 3.1 de 9.4, e o catálogo KEV da CISA não lista esta CVE.

A CVE-2026-2087 descreve uma falha de injeção de SQL na página /admin/login.php do Online Class Record System 1.0, acionada pelo parâmetro user_email e alcançável remotamente segundo o registro. A NVD atribui pontuação base CVSS 3.1 de 9.8, e a descrição informa que um exploit público foi publicado. O catálogo KEV da CISA não lista esta CVE e o registro não traz versão corrigida.

A CVE-2025-15027 afeta o plugin JAY Login & Register para WordPress em todas as versões até a 2.6.03, inclusive. Segundo o registro, uma falha na função jay_login_register_ajax_create_final_user permite alterar metadados arbitrários de usuários, o que pode levar um atacante não autenticado a obter privilégios de administrador. A CNA classificou a severidade como crítica, com CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.

As versões do Claude Code anteriores à 2.1.2 não protegiam o arquivo .claude/settings.json no sandbox bubblewrap quando ele não existia na inicialização. Código executado dentro do sandbox podia criá-lo e registrar hooks que rodam com privilégios do host ao reiniciar o Claude Code. A correção é indicada na versão 2.1.2, e a NVD classifica a falha como crítica, com pontuação CVSS 3.1 de 10.

A CVE-2026-25848 é uma falha de autenticação ausente no JetBrains Hub nas versões anteriores à 2025.3.119807, permitindo contornar a autenticação para ações administrativas. O NVD atribui nota 9,8 (CVSS 3.1, crítica), enquanto a JetBrains, como CNA, atribui 9,1. O registro não indica inclusão no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

A CVE-2025-14815 é uma fraqueza de armazenamento em texto claro (CWE-312) em diversos produtos de software industrial da Mitsubishi Electric e da ICONICS, nos quais credenciais do SQL Server ficam em texto puro em um arquivo SQLite local quando o recurso de cache local está habilitado e a autenticação SQL é usada. O CNA atribuiu pontuação base CVSS 4.0 de 9.3 (crítica), e o ataque exige acesso local. O registro não informa versões corrigidas e não há exploração confirmada nas fontes consultadas.

A CVE-2026-2172 é uma falha de injeção de SQL (CWE-89) no arquivo enrollment/index.php do componente Login Endpoint do Online Application System for Admission 1.0, da code-projects. O CNA descreve exploração remota, e o NVD atribui pontuação 9.8 (crítica) pelo CVSS 3.1. O registro informa que um exploit foi divulgado publicamente, mas não há versão corrigida indicada nem exploração confirmada nas fontes consultadas.

Foi relatada uma falha de injeção de SQL (CWE-89) no code-projects Social Networking Site 1.0, no arquivo delete_post.php, por meio do argumento ID. Segundo o registro, ela pode ser explorada remotamente e um exploit foi divulgado publicamente, enquanto a NVD atribui pontuação base CVSS 3.1 de 9.8. O CVE não consta no catálogo KEV da CISA e as fontes consultadas não confirmam exploração em ambientes reais.

Uma vulnerabilidade no componente WebUploader do tpadmin da yuan1994, até a versão 1.3.12, leva a desserialização e pode ser explorada remotamente, segundo o registro. A NVD classifica como crítica, com CVSS 3.1 de 9.8, e o registro informa que um exploit foi divulgado publicamente. Nenhuma versão corrigida aparece nas fontes consultadas, e o registro indica que apenas produtos sem suporte são afetados.

A CVE-2026-39640 é uma vulnerabilidade de Cross-Site Request Forgery (CSRF) no plugin Theme Editor, de mndpsingh287, que segundo o registro permite injeção de código. A descrição abrange versões desde n/a até 3.2, e a CNA Patchstack atribuiu nota 9.6 (crítica) pelo CVSS 3.1. O registro não informa versão corrigida, inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.

Segundo o registro, dispositivos Hirschmann HiEOS anteriores à versão 01.1.00 contêm um contorno de autenticação no módulo de gerenciamento HTTP(S) que pode conceder acesso administrativo a atacantes remotos não autenticados. A pontuação CVSS 3.1 é 9.8 (crítica). Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.

O plugin Ninja Forms - File Uploads para WordPress não valida o tipo dos arquivos enviados, o que permite que atacantes não autenticados enviem arquivos arbitrários. A Wordfence classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8. Segundo o registro, as versões até a 3.3.26 inclusive são afetadas e a 3.3.27 é a correção completa.

A CVE-2017-20237 afeta o Belden Hirschmann Industrial HiVision nas versões anteriores à 06.0.07 e 07.0.03, em que uma falha de autenticação no serviço master pode permitir que atacantes remotos não autenticados executem comandos com privilégios administrativos. O registro traz pontuação CVSS 3.1 de 9.8 (crítica) e classifica a falha como CWE-287. Não há versão corrigida listada no registro, e o CVE não consta no catálogo KEV da CISA.