Análises

Foi divulgada uma falha de injeção de SQL no PHPGurukul Beauty Parlour Management System 1.1, no arquivo administrativo /admin/accepted-appointment.php, por meio do argumento delid. A NVD atribui pontuação base CVSS 3.1 de 9.8 (Crítica), e o registro informa que a exploração foi divulgada publicamente. As fontes consultadas não listam versão corrigida nem exploração confirmada na natureza.

Uma falha de injeção de SQL (CWE-89) no login.php do Online Examination System 1.0 da code-projects pode ser acionada remotamente pelos argumentos username e password. O NVD atribui nota 9.8 (crítica) no CVSS 3.1, e as pontuações da VulDB divergem. O registro não traz versão corrigida nem inclusão no catálogo KEV.

A CVE-2026-2198 é uma fraqueza de injeção de SQL (CWE-89) no code-projects Online Reviewer System 1.0, acessível pelo argumento difficulty_id de um arquivo PHP na área administrativa de avaliações. A NVD classifica a severidade como 9.8 (crítica) no CVSS 3.1, com o vetor indicando que não são exigidos privilégios nem interação do usuário. O registro informa que existe exploit público, mas a CVE não consta no CISA KEV e nenhuma versão corrigida é listada.

A CVE-2026-2234 afeta o C&Cm@il, produto desenvolvido pela HGiga, e é descrita como falha de falta de autenticação que permite a atacantes remotos não autenticados ler e modificar o conteúdo do correio de qualquer usuário. O CNA classificou como crítica, com pontuação base CVSS 3.1 de 9.1. O registro não lista versões afetadas ou corrigidas, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-2090 é uma falha de injeção de SQL no SourceCodester Online Class Record System 1.0, que afeta o arquivo /admin/message/search.php por meio do argumento term. A NVD atribui pontuação 9.8 (Crítica) pelo CVSS 3.1, e a descrição indica que o ataque pode ser executado remotamente. O registro não lista versão corrigida, e a CVE não consta no catálogo KEV da CISA.

Foi relatada uma falha de injeção de SQL (CWE-89) no componente WAF Firewall do Xiaopi Panel, acessível pelo argumento ID do arquivo /demo.php e explorável remotamente. A avaliação da NVD atribui nota 9,8 no CVSS 3.1, enquanto a CNA VulDB publicou notas menores. O exploit foi tornado público, o fornecedor não respondeu e o registro não lista versão corrigida.

O SandboxJS, biblioteca de sandboxing para JavaScript, é afetado por uma fuga de sandbox nas versões anteriores à 0.8.29. A falha permite contornar a aplicação da lista de permissões de protótipos e poluir o Object.prototype do host, com possíveis efeitos persistentes entre sandboxes. O GitHub classifica como crítica (pontuação base CVSS 3.1 de 10), e a atualização para a versão 0.8.29 é a correção documentada.

Foi relatada uma falha de injeção de SQL (CWE-89) no Simple Blood Donor Management System 1.0, do fornecedor code-projects, no parâmetro ID tratado por editcampaignform.php. A NVD atribui pontuação 9.8 (crítica) no CVSS 3.1, enquanto a CNA VulDB indica 7.3 na mesma versão do CVSS. O registro afirma que existe um exploit público, mas não há exploração confirmada na natureza nas fontes consultadas.

A CVE-2026-23696 é uma falha crítica de injeção de SQL (CWE-89) no gerenciamento de propriedade de pastas das edições Community e Enterprise do Windmill, que afeta as versões 1.276.0 até 1.603.2 segundo o registro. Um atacante autenticado poderia usar o parâmetro owner para ler dados sensíveis, forjar um token administrativo e alcançar endpoints de execução de workflows. Nas fontes consultadas não há exploração confirmada, e o registro ainda aguarda análise do NVD.

A CVE-2026-39619 é uma falha de Cross-Site Request Forgery no tema WordPress Busiprof, de priyanshumittal, que afeta versões até a 2.5.2 inclusive. Segundo o registro, a falha pode ser usada para enviar um web shell ao servidor web, e a Patchstack a classifica como crítica, com CVSS 3.1 de 9.6. O registro não informa versão corrigida e não há exploração confirmada no catálogo KEV da CISA.

A CVE-2025-66603 afeta o servidor web do FAST/TOOLS da Yokogawa Electric, que aceita o método HTTP OPTIONS. Segundo o registro, um atacante poderia potencialmente usar essa informação para apoiar outros ataques. A NVD classifica a falha como crítica, com pontuação 9.8 no CVSS 3.1, e nenhuma versão corrigida consta no registro.

A CVE-2026-2221 é uma falha de injeção de SQL no componente de login do code-projects Online Reviewer System 1.0, acessada pelo argumento Username do arquivo /login/index.php. A NVD classifica a severidade com 9,8 no CVSS 3.1, e o CNA informa que um exploit foi divulgado publicamente. O registro não traz correção e a vulnerabilidade não consta no KEV da CISA.

O Frigate em versões anteriores à 0.16.4 contém uma falha crítica de injeção de comandos do sistema na integração com o go2rtc, acessível pela diretiva exec na configuração de fluxos de vídeo. O registro atribui pontuação CVSS 3.1 de 9.1 e afirma que a exploração exige um administrador ou uma instalação exposta à internet sem autenticação. O registro indica a versão 0.16.4 como corrigida, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-25803 afeta o 3DP-MANAGER nas versões 2.0.1 e anteriores, que criam uma conta administrativa com as credenciais padrão admin/admin na primeira inicialização. O aviso descreve controle administrativo total sobre túneis VPN e configurações do sistema para atacantes que alcancem a interface de login, e o registro a classifica como Crítica (CVSS 3.1 9.8). O registro indica que a correção será disponibilizada na versão 2.0.2, e nenhuma exploração confirmada aparece nas fontes consultadas.

As versões do Payload CMS anteriores à 3.73.0 são vulneráveis a SQL injection ao consultar campos JSON ou richText, permitindo injeção cega sem autenticação. A pontuação CVSS 3.1 é 9,8 e a descrição aponta possível exposição de e-mails, tokens de redefinição de senha e tomada completa de contas. A atualização para a versão 3.73.0 é a correção documentada.