Análises

A CVE-2026-2196 é uma falha de injeção de SQL (CWE-89) no Online Reviewer System 1.0 da code-projects, localizada no arquivo exam-update.php e acionada pelo argumento test_id. A NVD atribui nota 9.8 (crítica) pelo CVSS 3.1, e o registro informa que um exploit foi tornado público. As fontes consultadas não indicam versão corrigida nem inclusão no catálogo KEV.

A CVE-2026-22903 descreve um estouro de buffer baseado em pilha em uma versão modificada do servidor web lighttpd, acionado por um cookie SESSIONID excessivamente longo em uma requisição HTTP enviada sem autenticação. A CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9,8, e o registro não indica inclusão no catálogo KEV. O registro também não lista versões afetadas nem correções.

Foi relatada uma falha de injeção de SQL (CWE-89) no Student Web Portal 1.0, em que a manipulação do argumento Username em /check_user.php pode alterar consultas ao banco de dados. O registro indica que o ataque pode ser iniciado remotamente, e a NVD atribui nota 9.8 (CVSS 3.1, crítica). A CVE não consta no CISA KEV e o registro não identifica versão corrigida.

A CVE-2026-2190 é uma falha de injeção de SQL no itsourcecode School Management System 1.0, desencadeada pela manipulação do argumento ID em um arquivo controlador. A NVD atribui nota 9,8 pelo CVSS 3.1, e o registro indica que um exploit foi tornado público. A vulnerabilidade não consta no catálogo KEV e o registro não traz versão corrigida.

Uma falha de injeção de SQL (CWE-89) no code-projects Online Reviewer System 1.0 foi relatada no script exam-delete.php, em que o argumento test_id é afetado. A NVD classifica a severidade como crítica, com nota 9.8 no CVSS 3.1, e o registro indica que já existe exploit divulgado publicamente. Nenhuma versão corrigida ou patch do fornecedor aparece nas fontes consultadas.

Foi relatada uma falha de injeção de SQL (CWE-89) no Online Reviewer System 1.0 da code-projects, no arquivo user-delete.php, em que o argumento ID não é tratado de forma segura. O NVD atribui nota 9.8 (CVSS 3.1, crítica) e o registro informa que o exploit foi divulgado publicamente. O CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas.

Foi relatada uma falha de injeção de SQL (CWE-89) no componente de login administrativo em /admin/index.php do News Portal Project 1.0, em que o argumento email pode ser manipulado remotamente. O NVD classifica a severidade como crítica, com pontuação CVSS 3.1 de 9,8, e o registro informa que um exploit público foi publicado. O registro não traz versão corrigida e a falha não consta no catálogo KEV da CISA.

A CVE-2026-25592 é uma escrita arbitrária de arquivo, classificada como path traversal (CWE-22), no SessionsPythonPlugin do SDK .NET do Semantic Kernel da Microsoft, nas versões anteriores à 1.71.0. A descrição informa que o problema foi corrigido no Microsoft.SemanticKernel.Core na versão 1.71.0, e o registro lista pontuação CVSS 3.1 de 9.9 atribuída pelo CNA GitHub. Não há exploração confirmada nas fontes consultadas, e o fornecedor descreve um filtro de invocação com lista de permissões como mitigação temporária.

A VulDB publicou o CVE-2026-2184, uma falha de injeção de comando de sistema operacional (CWE-78) no Great Developers Certificate Generation System, acessível pelo argumento photo do arquivo /restructured/csv.php. O registro indica que o ataque pode ser feito remotamente, e a NVD classifica como crítica com CVSS 3.1 de 9.8. Nenhuma versão corrigida é listada, o produto usa modelo de release contínuo e o repositório do projeto está inativo há muitos anos.

A CVE-2021-4477 descreve um bypass de firewall nos produtos Hirschmann HiLCOS OpenBAT e BAT450 em implantações de IPsec sobre IPv6, permitindo que o tráfego de conexões VPN contorne regras de firewall configuradas. O registro é classificado como crítico, com pontuação CVSS v3.1 de 9.1 atribuída pela VulnCheck, e não consta no catálogo KEV da CISA. O registro não identifica versões afetadas nem versões corrigidas.

O plugin ProSolution WP Client para WordPress apresenta uma falha de upload irrestrito de arquivos em todas as versões até e incluindo a 1.9.9. Segundo o registro, atacantes não autenticados podem enviar arquivos arbitrários, o que pode tornar possível a execução remota de código. O registro atribui nota 9.8 (Crítica) pelo CVSS 3.1, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-2217 é uma falha de injeção de SQL (CWE-89) relatada no Event Management System 1.0 da itsourcecode, envolvendo o argumento ID tratado em /admin/manage_user.php. O registro classifica como crítica, com CVSS 3.1 de 9,8 segundo a NVD, e informa que existe exploit público. Não há versão corrigida nem exploração confirmada nas fontes consultadas.

A CVE-2026-5850 é uma falha crítica de injeção de comando de sistema operacional na função setVpnPassCfg do CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024, explorável remotamente segundo o registro. A pontuação CVSS 3.1 fornecida pelo CNA é 9.8 e o registro informa que há exploit disponível publicamente. Não há versão corrigida listada nas fontes consultadas e nenhuma exploração ativa confirmada aparece nelas.

A CVE-2026-2133 é uma fraqueza de upload irrestrito de arquivos no Online Music Site 1.0 da code-projects, acessível pelo argumento txtimage do arquivo /Administrator/PHP/AdminUpdateCategory.php. A NVD classifica como 9.8 (Crítica) pelo CVSS 3.1 e o registro indica que o ataque pode ser feito remotamente. O registro menciona material de exploit disponível publicamente, mas a CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

O CVE-2026-39617 é uma falha de Cross-Site Request Forgery (CSRF) no tema Bluestreet, de priyanshumittal, classificada como CWE-352. O registro indica faixa afetada até a versão 1.7.3 inclusive e pontuação CVSS 3.1 de 9.6 (crítica). Não há confirmação de exploração ativa nas fontes consultadas, e o registro indica que o CVE não está listado no KEV da CISA.