Análises

A Google reportou uma falha de falta de autorização em vários endpoints de API internos do Google Cloud Application Integration, que afeta versões anteriores a 2026-01-23. O registro atribui pontuação CVSS v4.0 de 10 e descreve possível divulgação de informações e execução de código por atacante remoto não autenticado. O registro não mostra inclusão no catálogo KEV, nenhuma exploração confirmada nas fontes consultadas e nenhuma versão corrigida.

O CVE-2026-42758 é uma falha de atribuição incorreta de privilégios (CWE-266) no plugin WordPress de webinars WebinarIgnition, que permite escalonamento de privilégios. A CNA Patchstack atribuiu nota 9.8 (Crítica) pelo CVSS 3.1, e o registro indica como afetadas as versões anteriores à 4.08.253. As fontes consultadas não confirmam exploração no mundo real, e o registro não lista versões corrigidas.

O plugin Easy Elements para Elementor, para WordPress, permite que usuários não autenticados se registrem com o papel de administrador nas versões até a 1.4.4, inclusive, porque o manipulador de registro não restringe os papéis atribuíveis. O registro atribui pontuação CVSS 3.1 de 9.8 (Crítica) pela Wordfence. Não há exploração confirmada nas fontes consultadas, e o registro não informa uma versão corrigida.

As versões do Kavita anteriores à 0.9.0.2 apresentam uma falha de validação de token (CWE-287) que permite a um agente remoto e não autenticado, que conheça um nome de usuário, solicitar um JWT para esse usuário, inclusive administradores. O CNA classificou a vulnerabilidade como crítica, com pontuação base CVSS 4.0 de 9.3, e a descrição informa que ela está corrigida na versão 0.9.0.2. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2020-37228 afeta o iDS6 DSSPro Digital Signage System 6.2 e é descrita como uma falha de bypass de CAPTCHA que pode permitir contornar a autenticação e facilitar tentativas de força bruta contra contas de usuário. A CNA VulnCheck classifica a falha como crítica, com pontuação CVSS v3.1 de 9.8 e CVSS v4.0 de 9.3. O registro não indica inclusão no catálogo KEV nem exploração confirmada, e não há dados sobre versões afetadas ou corrigidas.

A CVE-2026-9455 é uma falha de injeção de comando do sistema operacional na interface de gerenciamento web do firmware Totolink A8000RU 7.1cu.643_b20200521. Segundo o registro, a manipulação do argumento FileName na função UploadOpenVpnCert de /cgi-bin/cstecgi.cgi pode levar à execução de comandos, e a exploração remota é possível. A CNA classifica como crítica, com pontuação CVSS 3.1 de 9.8, e o registro informa que um exploit foi divulgado publicamente, embora o CISA KEV não a liste.

A CVE-2026-42747 é uma SQL injection cega crítica no plugin Easy Form Builder, de hassantafreshi, com pontuação 9,3 no CVSS 3.1 atribuída pelo CNA Patchstack. O registro indica que as versões até 4.0.6 são afetadas, mas não informa nenhuma versão corrigida. O registro não mostra inclusão no catálogo KEV, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-45444 é uma falha de upload irrestrito de arquivo no plugin Gift Cards For WooCommerce Pro para WordPress, da WP Swings, que afeta versões até a 4.2.6 inclusive, segundo a Patchstack. O registro atribui pontuação CVSS 3.1 de 10 (crítica), com vetor de rede e sem necessidade de privilégios ou interação do usuário. Não há exploração confirmada nas fontes consultadas, e o CVE não consta no catálogo KEV da CISA.

A CVE-2026-44050 é um estouro de buffer baseado em heap na função comm_rcv() do daemon CNID do Netatalk, nas versões de 2.0.0 até 4.4.2. Segundo o registro, um atacante remoto autenticado poderia executar código arbitrário com privilégios elevados ou causar negação de serviço, com pontuação CVSS 3.1 crítica de 9.9. O registro não informa versão corrigida, não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

Versões do HTTP::Daemon para Perl anteriores à 6.17 contêm uma falha de injeção de comandos do sistema em send_file(), registrada como CVE-2026-8450. Entrada não confiável pode executar comandos com os privilégios do daemon e criar ou truncar arquivos em caminhos escolhidos pelo atacante. O registro lista pontuações CVSS 3.1 de 9,1 e 8,1, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-9434 é uma injeção de comando do sistema operacional (CWE-77) considerada crítica na interface Web Management do firmware Totolink A8000RU 7.1cu.643_b20200521. O registro indica que a manipulação do argumento wscDisabled na função setWiFiWpsCfg de /cgi-bin/cstecgi.cgi pode ser feita remotamente e que há exploit divulgado publicamente. Não foi encontrada exploração ativa confirmada nem versão corrigida nas fontes consultadas.

Uma falha crítica de injeção de comando de sistema operacional (CWE-77) afeta a interface de gerenciamento web do firmware 7.1cu.643_b20200521 do Totolink A8000RU. O registro descreve exploração remota pela função setL2tpServerCfg e informa que um exploit foi publicado. Não há versão corrigida listada, por isso a mitigação foca em restringir o acesso à interface de gerenciamento.

Uma falha de travessia de diretório no StorageController do Viewer do Altium Enterprise Server permite que um usuário autenticado leia arquivos arbitrários em implantações locais que usam armazenamento em sistema de arquivos. Segundo o registro, o arquivo de configuração mestre legível contém credenciais de banco de dados, referências a chaves de assinatura e segredos OAuth, o que pode ampliar a exposição a todos os segredos do servidor. O registro classifica a severidade como crítica, com CVSS 4.0 de 9.4, e não indica exploração confirmada nas fontes consultadas.

A CVE-2026-2264 afeta a política SetIntegrationRequest do Google Cloud Apigee-X e permite Server-Side Request Forgery (SSRF) e exfiltração de tokens de acesso de contas de serviço. O registro classifica a gravidade como crítica, com pontuação base CVSS 4.0 de 9.2, e indica que a exploração exige que um administrador configure previamente um proxy de API de forma insegura. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-42748 é uma vulnerabilidade de upload irrestrito de arquivo (CWE-434) no plugin WPify Woo Czech para WordPress, que afeta versões até a 5.4.1, inclusive. O registro indica que ela permite enviar uma web shell ao servidor web, e a CNA Patchstack classifica a severidade como 9.9 (Crítica) no CVSS 3.1. Não foi identificada versão corrigida nem exploração confirmada nas fontes consultadas.