Análises

Foi identificada uma vulnerabilidade no FAST/TOOLS da Yokogawa, que afeta as versões R9.01 a R10.04, em que o servidor web aceita acesso com base em endereço IP. O registro associa a falha ao CWE-291 e indica que um worm que procura aleatoriamente endereços IP poderia potencialmente atacar sistemas afetados após entrar em uma rede. A NVD atribui pontuação base CVSS 3.1 de 9.8, e nenhuma exploração confirmada aparece nas fontes consultadas.

Uma vulnerabilidade no FAST/TOOLS da Yokogawa envolve a codificação inadequada de URLs, classificada como CWE-86. O registro indica que um atacante poderia adulterar páginas web ou executar scripts maliciosos, e a NVD atribui nota 9.6 (crítica) pelo CVSS v3.1. O registro não lista versão corrigida e nenhuma exploração confirmada aparece nas fontes consultadas.

Versões do HiSecOS Classic Firewall da Belden Hirschmann até a 05.3.02 apresentam estouro de buffer na interface de login HTTPS quando a autenticação RADIUS está ativa. A falha é classificada como CWE-120 e a VulnCheck atribui nota 9.8 no CVSS 3.1. Nas fontes consultadas não há exploração confirmada, e o registro não informa versão corrigida.

Uma falha crítica de injeção de comandos de SO (CWE-78) em um workflow reutilizável do GitHub Actions mantido pelo dbt-labs permite que texto de comentário controlado por atacante chegue a uma instrução if do bash. A CNA informa pontuação CVSS 4.0 de 9.3, e o registro afirma que a correção está no commit bbed8d28354e9c644c5a7df13946a3a0451f9ab9. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-25632 afeta versões do EPyT-Flow anteriores à 0.16.1. A API REST usa um desserializador JSON personalizado que pode importar e instanciar classes escolhidas pelo atacante, o que, segundo o registro, pode levar à execução de comandos no sistema operacional durante a análise do JSON. O registro indica severidade crítica (pontuação base CVSS 3.1 de 10) e informa que a correção está na versão 0.16.1.

A CVE-2026-20093 é um desvio de autenticação crítico na função de alteração de senha do Cisco Integrated Management Controller (IMC), com nota 9,8 no CVSS 3.1 atribuída pelo CNA. O registro descreve um invasor remoto, sem autenticação, que poderia obter acesso de nível Admin devido ao tratamento incorreto de solicitações de troca de senha. Os dados disponíveis não trazem versões afetadas, versões corrigidas nem inclusão no catálogo KEV, por isso o aviso do fabricante é a principal fonte para remediação.

A CVE-2026-22906 é uma falha crítica em que credenciais de usuários são cifradas com AES-ECB usando uma chave fixa no código, conforme informado pelo CNA info@cert.vde.com, com pontuação base CVSS 3.1 de 9.8. Segundo o registro, um atacante remoto não autenticado que obtenha o arquivo de configuração poderia recuperar nomes de usuário e senhas em texto claro. O registro não lista produtos, versões afetadas ou correções, por isso o aviso do fornecedor VDE-2026-004 é a principal fonte a consultar.

A CVE-2026-2174 é uma falha de autenticação imprópria (CWE-287) reportada no Contact Management System 1.0 da code-projects, em uma parte não especificada do componente CRUD Endpoint. O NVD atribui pontuação CVSS 3.1 de 9.8 (Crítica), com vetor de ataque pela rede e sem privilégios exigidos, enquanto o CNA VulDB informa pontuações menores em outras versões do CVSS. O registro não lista versão corrigida e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-39620 é uma falha de cross-site request forgery (CWE-352) no produto Appointment da priyanshumittal, que, segundo o registro, pode ser usada para enviar um web shell a um servidor web. A Patchstack, como CNA, classifica como crítica, com pontuação CVSS 3.1 de 9.6, e o registro abrange versões até a 3.5.5. O registro não lista versões afetadas nem corrigidas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-2171 é uma falha de injeção de SQL no componente Login (accounts.php) do Online Student Management System 1.0 da code-projects, explorável remotamente pelos argumentos username e password. O NVD atribui pontuação base CVSS 3.1 de 9.8, e a descrição informa que existe exploit público. O registro não indica versão corrigida e a CVE não consta no catálogo KEV da CISA.

O CVE-2026-2114 é uma falha crítica de injeção de SQL no itsourcecode Society Management System 1.0, acessível remotamente pelo argumento admin_id do arquivo /admin/edit_admin.php. O NVD atribui pontuação base CVSS 3.1 de 9.8, enquanto o CNA VulDB informa pontuações menores em outras versões do CVSS. O registro indica que existe exploit público, mas a falha não consta no catálogo CISA KEV, portanto não há exploração ativa confirmada nas fontes consultadas.

A CVE-2026-2115 descreve uma falha de injeção de SQL no itsourcecode Society Management System 1.0, acessível pelo argumento expenses_id do arquivo /admin/delete_expenses.php. O NVD atribui pontuação base CVSS 3.1 de 9.8 (crítica) e o registro informa que um exploit foi publicado. O CVE não consta no catálogo KEV da CISA e não há versão corrigida registrada nas fontes consultadas.

Um estouro de buffer no recurso de agendamento de alarmes do Parallaxis Cuckoo Clock 5.0 está classificado como CWE-121, com pontuação base CVSS 3.1 de 9,8 registrada pela VulnCheck. O registro não traz versões afetadas, versões corrigidas nem inclusão no catálogo KEV da CISA, por isso detalhes de correção e situação de exploração permanecem em grande parte desconhecidos.

A CVE-2025-14816 é uma fraqueza de armazenamento em texto claro (CWE-317) na GUI de diversos produtos industriais da Mitsubishi Electric e da ICONICS. Segundo o registro, as credenciais do SQL Server aparecem em texto simples no recurso Hyper Historian Splitter quando a autenticação SQL é utilizada, e o CNA a classifica com 9.3 no CVSS 4.0. O registro não lista versões corrigidas, por isso administradores devem consultar o aviso do fabricante e restringir o acesso local.

Foi relatada uma falha de injeção de SQL no Projectworlds Online Food Ordering System 1.0, no argumento ID do arquivo /view-ticket.php, que pode ser explorada remotamente. O NVD classifica a falha com 9.8 (Crítica) no CVSS 3.1, e o registro informa que há um exploit publicado. A CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas.