Análises

A CVE-2026-27044 é uma fragilidade de injeção de código (CWE-94) no plugin Total Poll Lite (totalpoll-lite), da TotalSuite, que segundo o CNA permite inclusão remota de código. O registro indica versões até a 4.12.0 como afetadas e atribui pontuação CVSS 3.1 de 9.9 pela Patchstack. Não há versão corrigida nem exploração confirmada nas fontes consultadas.

A CVE-2026-25526 é um bypass crítico do sandbox do HubSpot JinJava, um mecanismo de templates em Java, pelo componente ForTag. Segundo o registro, ela permite instanciação arbitrária de classes Java e acesso a arquivos, com pontuação 9.8 no CVSS v3.1 atribuída pelo CNA. O problema foi corrigido nas versões 2.7.6 e 2.8.3, e não há exploração confirmada nas fontes consultadas.

A CVE-2019-5786 é uma falha de use-after-free (CWE-416) no motor de renderização Blink do Google Chrome anterior à versão 72.0.3626.121, que pode ser acionada remotamente por meio de uma página HTML elaborada. A CISA a inclui no catálogo de vulnerabilidades exploradas conhecidas (KEV), e o registro também aponta o npm Puppeteer anterior à 1.13.0 como afetado. A principal medida defensiva é atualizar o Chrome e o Puppeteer.

CVE-2025-68723 é uma vulnerabilidade de cross-site scripting armazenado na interface WebAdmin do Axigen Mail Server, presente em três pontos da console de administração. A NVD atribui pontuação 9.0 (Crítica) pelo CVSS 3.1, e o registro indica faixas afetadas de 10.3.0 até antes de 10.5.57 e de 10.6.0 até antes de 10.6.26. Não há exploração confirmada nas fontes consultadas, e o registro indica que a CVE não consta no catálogo KEV da CISA.

A CVE-2026-32502 é uma falha de desserialização insegura (CWE-502) que permite object injection no tema borgholm-marketing-agency-theme, publicado pela Select-Themes, com versões do Borgholm abaixo de 1.6 segundo o registro. A CNA Patchstack atribuiu nota 9.8 (Crítica) no CVSS 3.1, com vetor de rede e sem necessidade de privilégios ou interação do usuário. Não há exploração confirmada nas fontes consultadas, e o registro não traz dados estruturados de versões afetadas e corrigidas.

As versões do File Browser anteriores à 2.63.6 inserem credenciais de login sem sanitização em um comando de shell externo usado pelo recurso Hook Authentication. O registro descreve a falha como execução remota de código pré-autenticação, sem necessidade de autenticação, classificada como crítica (CVSS v4.0 9.3, CWE-78). A principal medida de correção é atualizar para a versão 2.63.6 ou superior.

A CVE-2026-2014 é uma falha de injeção de SQL no itsourcecode Student Management System 1.0, acionada pelo argumento ID do arquivo /ramonsys/billing/index.php. O registro indica que a exploração remota é possível e que um exploit foi divulgado publicamente. A NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica), e o catálogo CISA KEV não lista esta CVE.

O crypto/tls do Go pode aceitar a retomada de uma sessão TLS depois que os campos ClientCAs ou RootCAs da Config mudam, quando o handshake retomado deveria ter falhado. O registro associa a falha ao CWE-295 e informa pontuação CVSS 3.1 de 10 na NVD, com faixas afetadas abaixo de 1.24.13, de 1.25.0 até abaixo de 1.25.7, e dois pré-lançamentos da 1.26. O CVE não consta no KEV do registro e não há exploração confirmada nas fontes consultadas.

A CVE-2020-37138 é um estouro de buffer baseado em pilha (CWE-121) na funcionalidade de importação de arquivos do 10-Strike Network Inventory Explorer 9.03, que, segundo o registro, pode permitir execução remota de código. A pontuação CVSS 3.1 informada é 9.8 (crítica), e não há inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas. O registro não traz versão corrigida, então é recomendável verificar atualizações do fornecedor e restringir a importação de arquivos de origem não confiável.

A CVE-2026-25547 afeta a biblioteca @isaacs/brace-expansion em versões anteriores à 5.0.1. Intervalos numéricos repetidos em padrões de chaves fazem a biblioteca gerar, de forma síncrona, todas as combinações possíveis, o que pode esgotar CPU e memória e derrubar um processo Node.js. A correção está na versão 5.0.1, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-25377 é uma falha de injeção de SQL (CWE-89) no addon Jobsearch Chat da eyecix para WordPress, conforme descrito no registro. O CNA classificou a severidade como crítica, com pontuação base CVSS 3.1 de 9,3, e a descrição indica versões afetadas de n/a até 3.0 inclusive. O registro não informa versão corrigida e não há exploração confirmada nas fontes consultadas.

A CVE-2020-37137 é uma falha crítica de execução remota de código no PHP-Fusion 9.03.50, em que dados POST não sanitizados chegam a uma chamada eval() na função add_panel_form(). A NVD atribui pontuação base CVSS 3.1 de 9.8, e o registro classifica a fraqueza como CWE-94 (Injeção de Código). O registro não informa versão corrigida nem inclusão no catálogo KEV da CISA, por isso a atualização e o status de exploração exigem verificação nas fontes do fornecedor e do CNA.

O File Browser, a partir da versão 2.0.0-rc.1, quando configurado com autenticação por proxy (auth.method=proxy), pode permitir que um atacante não autenticado com acesso direto ao servidor se passe por qualquer usuário, inclusive administradores. A mesma condição pode permitir a criação de contas quando um nome de usuário inexistente é informado. O registro classifica a falha como crítica (CVSS 3.1, nota 9.1) e não há exploração confirmada nas fontes consultadas.

A CVE-2026-4317 é uma falha de injeção de SQL (CWE-89) na aplicação web Umami Software, em que o parâmetro de requisição 'timezone' não é devidamente sanitizado antes de ser usado em uma consulta ao banco de dados. A CNA INCIBE-CERT atribui pontuação CVSS 4.0 de 9.3 (crítica), e o registro indica que um atacante autenticado poderia afetar os dados do banco. Não há exploração confirmada nas fontes consultadas, e o registro não lista versões afetadas ou corrigidas.

A CVE-2026-56123 afeta o socat nas versões 1.8.0.0 até 1.8.1.1, em que uma falha de extensão de sinal no analisador da resposta DOMAINNAME pode levar a um estouro de buffer baseado em heap quando há um servidor proxy SOCKS5 malicioso envolvido. A NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica), e o registro não mostra inclusão no catálogo KEV da CISA nem pontuação EPSS. A faixa afetada no registro exclui a 1.8.1.2 e posteriores, mas nenhuma referência de correção é listada, por isso convém verificar a correção nas notas de versão do fornecedor.