Análises

A CVE-2026-1709 é um bypass de autenticação crítico no registrador do Keylime, que segundo o registro não impõe autenticação TLS do lado do cliente. De acordo com o registro, um cliente não autenticado com acesso à rede poderia executar operações administrativas, como listar agentes, obter dados públicos do TPM e excluir agentes. As fontes consultadas não mostram exploração confirmada, e o registro não informa versão corrigida.

A CVE-2026-3296 é uma falha crítica de Injeção de Objeto PHP no plugin Everest Forms para WordPress, que atinge todas as versões até a 3.4.3 inclusive. Segundo o registro, visitantes não autenticados podem enviar dados serializados por meio de campos de formulários públicos, e esses dados são processados por uma chamada insegura de desserialização quando um administrador consulta as entradas. A Wordfence atribuiu pontuação 9,8 (CVSS 3.1) e o registro não indica inclusão no catálogo KEV da CISA, por isso os responsáveis pelos sites devem verificar a versão do plugin e restringir o acesso aos dados das entradas.

Foi relatada uma vulnerabilidade de injeção de SQL (CWE-89) na função de login em /login/index.php do code-projects Online Reviewer System 1.0, em que a manipulação dos argumentos username e password leva à injeção. A NVD atribui pontuação 9,8 (crítica) no CVSS 3.1, e o registro indica ataque remoto e divulgação pública de exploit. O CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

O plugin Users manager – PN para WordPress apresenta uma falha de autorização ausente (CWE-862) no tratamento AJAX da ação 'userspn_form_save', que, segundo o registro, permite que usuários não autenticados atualizem metadados arbitrários de usuários. O registro atribui ao problema uma pontuação CVSS 3.1 de 9.8 (Crítica), afetando versões até a 1.1.15 inclusive, e não lista nenhuma versão corrigida. Não há exploração confirmada no mundo real nas fontes consultadas.

Uma falha de injeção de SQL (CWE-89) foi relatada no code-projects Online Music Site 1.0, em um arquivo da área de administração, por meio do argumento txtcat. A NVD atribui pontuação base CVSS 3.1 de 9,8 e o registro indica que o ataque pode ser executado remotamente. O registro afirma que um exploit foi divulgado publicamente, mas a CVE não consta no CISA KEV e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

As versões do WeKan anteriores à 8.19 contêm uma falha de injeção de filtro LDAP (CWE-90) na autenticação LDAP, em que a entrada de nome de usuário não recebe escape adequado antes de ser usada em filtros de busca e em valores relacionados a DN. A NVD classifica a falha com 9,8 no CVSS 3.1 (crítica), e a VulnCheck com 8,7 no CVSS 4.0. O registro não indica inclusão no catálogo CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas, mas administradores devem revisar a faixa afetada e o patch referenciado.

A CVE-2026-2161 é uma falha de injeção de SQL no arquivo /admin/forget-password.php do itsourcecode Directory Management System 1.0, acionada pelo argumento email e acessível remotamente. O registro da NVD atribui pontuação CVSS 3.1 de 9,8 (crítica), enquanto as pontuações da CNA variam entre as versões 2.0 e 4.0 do CVSS. O registro indica que existe exploit público, mas a CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-25520 afeta versões do SandboxJS anteriores à 0.8.29, nas quais os valores de retorno das funções não são encapsulados, permitindo alcançar objetos do host a partir do sandbox. O registro descreve um caminho para executar código arbitrário fora do sandbox, e a correção está disponível na 0.8.29. A pontuação base CVSS 3.1 registrada é 10.0 (crítica), e o catálogo KEV da CISA não a lista.

A CVE-2026-2073 é uma falha de injeção de SQL (CWE-89) no itsourcecode School Management System 1.0, que afeta o argumento ID tratado por /ramonsys/user/index.php. O NVD classifica a vulnerabilidade como Crítica, com pontuação base CVSS 3.1 de 9,8, e o registro informa que um exploit foi divulgado publicamente. O registro não mostra exploração ativa confirmada nem correção oficial do fornecedor.

A CVE-2026-2220 é uma falha de injeção de SQL (CWE-89) no code-projects Online Reviewer System 1.0, acionada pela manipulação do argumento difficulty_id e descrita como explorável remotamente. A NVD atribui CVSS 3.1 9.8 (crítica), e o CNA VulDB informa pontuações menores em outras versões do CVSS. O registro indica que há exploit público, mas a CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2020-37161 é um estouro de buffer baseado em pilha (CWE-121) no Wedding Slideshow Studio até a versão 1.36, acionado pelo campo de nome de registro. O registro descreve possível execução arbitrária de código e recebe severidade Crítica (pontuação base CVSS 3.1 de 9.8) da VulnCheck. Nenhuma versão corrigida é listada e as fontes consultadas não mostram exploração confirmada na natureza.

Foi relatada uma fraqueza de injeção de SQL no arquivo /admin/edit_expenses.php do itsourcecode Society Management System 1.0, em que o argumento expenses_id não é tratado de forma segura. O registro indica que o problema pode ser acionado remotamente e que detalhes de exploração foram tornados públicos. Nenhuma versão corrigida aparece nas fontes consultadas, então administradores devem restringir o acesso e revisar a aplicação afetada.

O serviço Agentspace usava nomes previsíveis de buckets do Google Cloud Storage para logs de erro e preparação temporária durante importações de dados do GCS e do Cloud SQL. Essa previsibilidade permitia que um atacante criasse esses buckets antes do primeiro uso pelo cliente, padrão que o registro chama de bucket squatting. Segundo o registro, as versões posteriores a 12 de dezembro de 2025 já incluem a correção e nenhuma ação do usuário é necessária.

A CVE-2026-2130 é uma falha de injeção de comando (CWE-77) no mcp-maigret até a versão 1.0.12, no componente search_username, acessível pelo argumento Username. O registro indica que o ataque pode ser lançado remotamente. A NVD classifica como crítica com CVSS 3.1 9.8, enquanto a CNA VulDB apresenta pontuações menores, e a versão 1.0.13 é indicada como mitigação, sem exploração confirmada nas fontes consultadas.

A CVE-2026-25752 é uma falha de bypass de autorização no FUXA, uma aplicação web de SCADA/HMI, que permite a um atacante remoto não autenticado modificar tags de dispositivos via WebSocket. Segundo o registro, o problema afeta o FUXA até a versão 1.2.9 e foi corrigido na versão 1.2.10. Não aparece exploração confirmada nas fontes consultadas.