Análises

A CVE-2026-25858 afeta o macrozheng mall na versão 1.0.3 e anteriores, em que o fluxo de redefinição de senha do mall-portal expõe a senha de uso único na resposta da API. Segundo o registro, um atacante não autenticado poderia usar apenas o número de telefone de uma vítima para redefinir senhas, e a NVD lista pontuação CVSS 3.1 de 9.8 enquanto a VulnCheck lista 9.1.

A CVE-2026-1830 afeta o plugin Quick Playground para WordPress em todas as versões até, e incluindo, a 1.3.1. Segundo o registro, a falta de verificações de autorização em endpoints da REST API pode permitir que atacantes não autenticados alcancem execução remota de código, com pontuação CVSS 3.1 de 9.8 (crítica). O registro não mostra exploração confirmada na natureza nem versão corrigida.

A CVE-2020-37095 é registrada para o Cyberoam Authentication Client 2.1.2.7 como estouro de buffer baseado em pilha, que pode permitir execução remota de código ao sobrescrever a memória SEH. O registro traz pontuação CVSS 3.1 de 9.8 (crítica), atribuída pela VulnCheck. Não há indicação de inclusão no catálogo KEV nem dados estruturados de versões afetadas ou corrigidas.

A CVE-2026-2211 é uma falha de injeção de SQL no code-projects Online Music Site 1.0, ligada a uma função administrativa de exclusão de categorias que não trata o argumento ID de forma segura. A NVD atribui nota 9.8 (CVSS 3.1, crítica), as pontuações da CNA VulDB são menores, e o registro informa que existe exploit divulgado publicamente. O registro não mostra inclusão no KEV, exploração confirmada na natureza ou versão corrigida.

A CVE-2025-6830 é uma falha de injeção de SQL (CWE-89) no Password Module da Xpoda Türkiye Information Technology Inc., conforme descrito no registro. A CNA USOM atribuiu pontuação CVSS 3.1 de 9.8 (crítica), para uma falha acessível pela rede, de baixa complexidade e sem exigência de privilégios. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não traz versões afetadas ou corrigidas em campos estruturados.

A CVE-2026-25753 afeta o Prasklatechnology PlaciPy versão 1.0.0, um sistema de gestão de colocação profissional para instituições de ensino. As contas de estudantes recém-criadas recebem uma senha padrão fixa embutida no código, o que possibilita a tomada de contas em massa assim que essa senha for conhecida. O NVD classifica a falha como CVSS 3.1 9.8 (Crítica), e não há exploração confirmada nas fontes consultadas.

A GitLab corrigiu uma vulnerabilidade crítica no componente Duo Workflow Service do GitLab AI Gateway, causada pela expansão insegura de templates com dados fornecidos pelo usuário em definições de Flow do Duo Agent Platform elaboradas. Segundo o registro, ela pode levar a negação de serviço ou à execução de código no Gateway. As correções informadas são as versões 18.6.2, 18.7.1 e 18.8.1.

A CVE-2018-25236 é uma falha de autenticação imprópria (CWE-287) no módulo de gerenciamento HTTP(S) de produtos Hirschmann HiOS e HiSecOS, segundo o registro. O registro indica que um atacante remoto não autenticado poderia obter acesso administrativo por meio de requisições HTTP especialmente formadas, com pontuação base CVSS 3.1 de 9.8 atribuída pela VulnCheck. O registro não lista versões corrigidas e não consta exploração confirmada no catálogo KEV.

O plugin WPCafe (wp-cafe), da Arraytics, apresenta uma falha de falta de autorização (CWE-862) reportada nas versões de n/a até 3.0.7. A CNA atribui CVSS 3.1 de 9.1 (crítico), e o registro não lista versão corrigida. A vulnerabilidade não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-7531 é um use-after-free (CWE-416) no tratamento de key shares híbridos pós-quânticos (PQC) do wolfSSL no TLS 1.3. O registro a descreve como uma correção incompleta da CVE-2026-5460, e a NVD a classifica com nota 9,8 (crítica) no CVSS 3.1. Há uma correção referenciada no pull request do wolfSSL, e o registro não mostra exploração confirmada.

A CVE-2025-55017 é uma falha de path traversal (CWE-22) no Apache IoTDB, que afeta as versões 2.0.0 antes da 2.0.6 e 1.0.0 antes da 1.3.6. O CNA a classifica como crítica, com pontuação base CVSS 3.1 de 9.1, e o vetor indica acesso pela rede sem privilégios nem interação do usuário. A recomendação é atualizar para 1.3.6 ou 2.0.6, e nas fontes consultadas não há exploração confirmada.

A CVE-2026-2012 descreve uma falha de injeção de SQL no itsourcecode Student Management System 1.0, acessível remotamente pela página facultyloading. A VulDB, como CNA, e o NVD classificam a severidade como crítica, sendo que o NVD atribuiu CVSS 3.1 com nota 9.8. O registro indica que um exploit foi divulgado publicamente, mas a CVE não consta no catálogo KEV da CISA.

O OpenSlides, sistema web de apresentação e assembleias, apresenta um problema de controle de acesso inadequado que afeta usuários sincronizados por um provedor de identidade SAML externo. Segundo o registro, o formulário de login local aceitava o nome de usuário do OpenSlides de um usuário SAML com uma senha trivial, válida para todos os usuários SAML. A NVD classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8, e o registro indica correção na versão 4.2.29.

A CVE-2020-37126 é um estouro de pilha baseado em buffer no Free Desktop Clock 3.0, acionado pelo campo de nome de exibição de fusos horários. Segundo o registro, uma entrada Unicode elaborada pode sobrescrever registradores do Structured Exception Handler e, potencialmente, permitir execução de código arbitrário. O registro informa pontuação CVSS 3.1 de 9,8 (crítica), ausência de listagem no CISA KEV e nenhuma versão afetada ou corrigida informada.

O plugin WPJAM Basic para WordPress, de denishua, apresenta uma fraqueza de upload irrestrito de arquivos (CWE-434) que o registro situa até a versão 6.9.2. A Patchstack, CNA responsável, atribuiu nota 9.9 (crítica) no CVSS 3.1. O registro não lista versão corrigida e não há exploração confirmada nas fontes consultadas.