Análises

Foi relatada uma vulnerabilidade de injeção de SQL (CWE-89) no code-projects Online Reviewer System 1.0, em que o argumento ID de uma página de avaliações de estudantes pode influenciar consultas ao banco de dados. O registro indica que o ataque pode ser feito remotamente e que o exploit foi divulgado publicamente. O NVD atribui pontuação base CVSS 3.1 de 9.8, e as fontes consultadas não confirmam exploração ativa.

A CVE-2026-25804 afeta o Antrea, solução de rede para Kubernetes, em que um estouro aritmético uint16 na atribuição de prioridades de políticas de rede pode gerar prioridades OpenFlow incorretas quando há muitas políticas com valores variados. Segundo o registro, isso pode resultar em aplicação incorreta de regras de tráfego. A NVD atribui CVSS 3.1 de 9.1, a fonte da CNA atribui CVSS 4.0 de 8, e a descrição indica correção na versão 2.4.3.

SandboxJS, uma biblioteca de sandboxing para JavaScript, possui uma vulnerabilidade crítica nas versões anteriores à 0.8.29 que permite escapar do sandbox. Segundo o registro, Map está na lista SAFE_PROTOYPES, então seu prototype pode ser acessado e a sobrescrita de Map.prototype.has quebra o isolamento. O problema está corrigido na versão 0.8.29, e nenhuma exploração confirmada aparece nas fontes consultadas.

Foi divulgada uma vulnerabilidade de injeção de SQL (CWE-89) no Online Reviewer System 1.0 da code-projects, em que o argumento ID de uma página administrativa de avaliações pode ser manipulado remotamente. A NVD classifica como 9,8 (crítica) no CVSS 3.1, enquanto as pontuações da CNA VulDB divergem. O registro indica divulgação pública de um exploit, porém não há exploração confirmada no mundo real nas fontes consultadas e nenhuma versão corrigida é listada.

A vulnerabilidade CVE-2025-13563 afeta o plugin Lizza LMS Pro para WordPress em todas as versões até a 1.0.3, inclusive. A função de registro não limita quais funções de usuário podem ser escolhidas, o que pode permitir que um atacante não autenticado crie uma conta com privilégios de administrador. A CNA Wordfence classificou a severidade como crítica, com pontuação CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.

Foi relatada uma vulnerabilidade de upload irrestrito de arquivo de tipo perigoso (CWE-434) no Great Developers Certificate Generation System, em parte não especificada de /restructured/csv.php. O registro do NVD atribui pontuação base CVSS 3.1 de 9.8 (crítica) e descreve exploração remota como possível. Nenhuma exploração confirmada aparece nas fontes consultadas, e nenhuma versão corrigida é listada.

A CVE-2026-2189 é uma falha de injeção de SQL no itsourcecode School Management System 1.0, identificada em uma função não especificada do arquivo /ramonsys/report/index.php. A pontuação base do NVD é 9.8 (crítica) no CVSS 3.1, e o registro indica ataque remoto e a existência de exploit público. Nas fontes consultadas não há correção do fornecedor listada, e a vulnerabilidade não consta no catálogo KEV da CISA.

Foi relatada uma falha de injeção de SQL no argumento activity_id do arquivo /admin/edit_activity.php do itsourcecode Society Management System 1.0. A NVD atribui pontuação CVSS 3.1 de 9,8 (Crítica), e o registro indica que um exploit foi tornado público. A CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-22904 é um estouro de buffer na pilha (CWE-121) de severidade crítica, causado por tratamento inadequado de tamanho ao analisar vários campos de cookie, incluindo TRACKID. Segundo o registro do CNA, um atacante remoto não autenticado pode provocar negação de serviço e, possivelmente, execução remota de código. Os produtos e versões afetados não são identificados nas fontes consultadas.

A CVE-2017-20234 afeta os switches gerenciáveis Belden GarrettCom Magnum 6K e 10K. Uma string codificada no mecanismo de autenticação permite que atacantes não autenticados contornem o login e acessem funções administrativas e configurações sensíveis. O registro informa pontuação CVSS 3.1 de 9.8 (Crítica), ausência de inclusão no catálogo KEV e nenhuma versão corrigida indicada.

O CVE-2026-2165 é uma fraqueza de falta de autenticação (CWE-306) em um endpoint de criação de contas do Detronetdip E-commerce 1.0.0, acessível remotamente segundo o registro. O NVD classifica a severidade como 9.8 (crítica) no CVSS 3.1, e o registro informa que existe um exploit público. O projeto foi notificado por meio de uma issue e ainda não respondeu, portanto não há versão corrigida documentada.

A CVE-2020-37162 descreve um estouro de buffer no campo de chave de registro do Wedding Slideshow Studio 1.36 e versões anteriores, que o registro indica poder levar à execução arbitrária de código. A pontuação CVSS 3.1 é 9,8 (crítica), informada pela VulnCheck. O registro não lista correção e a CISA KEV não inclui esta CVE.

Foi relatada uma vulnerabilidade de injeção de SQL (CWE-89) no code-projects Online Music Site 1.0, no arquivo /Administrator/PHP/AdminEditCategory.php, em que o argumento ID não é tratado com segurança. A NVD atribui pontuação base CVSS 3.1 de 9.8 (crítica), e o registro indica que existe um exploit público. Não há exploração confirmada no campo nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-25641 é um escape de sandbox de severidade crítica no SandboxJS, uma biblioteca de sandboxing para JavaScript, que afeta versões anteriores à 0.8.29. O registro descreve uma incompatibilidade entre a chave de propriedade validada e a chave usada no acesso real, causada por objetos que se convertem em valores de string diferentes. A correção está disponível na 0.8.29, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-1615 afeta versões do pacote jsonpath anteriores à 1.3.0, que avaliam expressões JSON Path fornecidas pelo usuário por meio do módulo static-eval. Uma expressão elaborada pode levar à execução de JavaScript arbitrário, descrita no registro como Execução Remota de Código em Node.js e XSS em navegadores. O registro classifica a severidade como crítica, com CVSS 3.1 de 9,8, e não indica exploração confirmada.