Análises

Versões do JetBrains Kotlin anteriores à 2.4.20 são afetadas por uma fraqueza de desserialização insegura (CWE-502) nos metadados do cache de build, que, segundo o registro, pode permitir execução de código. O NVD classifica a falha como crítica com pontuação CVSS 3.1 de 9.8, enquanto a CNA JetBrains informa 6.7. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-57700 descreve um upload irrestrito de arquivo de tipo perigoso (CWE-434) no Daan.Dev OMGF Pro, que segundo o registro permite o uso de arquivos maliciosos nas versões de n/a até 5.2.6. A CNA Patchstack atribuiu nota 10.0 (crítica) no CVSS 3.1, com vetor de rede e sem necessidade de privilégios ou interação do usuário. Não constam versão corrigida nem exploração confirmada nas fontes consultadas.

Versões do Claude Code anteriores à 2.0.57 não validavam adequadamente mudanças de diretório combinadas com operações de escrita em pastas protegidas, como .claude. Segundo o registro, isso podia permitir criar ou modificar arquivos sem confirmação do usuário, e o problema foi corrigido na 2.0.57.

A CVE-2026-56445 afeta o manipulador C-STORE da aplicação qrscp, que usa diretamente em os.path.join() um valor vindo de datasets DICOM fornecidos pelo atacante, sem sanitização, possibilitando gravação de arquivos em caminhos arbitrários (CWE-22). O CNA ICS-CERT atribui CVSS 3.1 9.1 (Crítica) e CVSS 4.0 8.8; o registro não indica exploração confirmada e a CVE não consta no catálogo KEV da CISA. Versões afetadas e corrigidas não constam no registro disponível.

Os dispositivos GeoVision GV-LPC2011 e GV-LPC2211 na versão V1.12 e anteriores contêm um estouro de buffer baseado em pilha, sem necessidade de autenticação, no componente web thttpd. Um invasor remoto poderia enviar uma requisição HTTP elaborada com entrada excessivamente longa, causando corrupção de memória, negação de serviço ou potencialmente execução arbitrária de código. O CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-2059 é uma falha de injeção de SQL (CWE-89) no arquivo emp_edit1.php do Medical Center Portal Management System 1.0 da SourceCodester, acionada pelo argumento ID. O registro indica possibilidade de ataque remoto e divulgação pública de um exploit, e a NVD classifica a severidade como crítica (9.8 no CVSS 3.1). Não há listagem no CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas.

O LibreChat anterior à versão 0.8.5 não verifica se o parâmetro resource dos metadados de OAuth Protected Resource corresponde à URL do servidor MCP configurado. Assim, um servidor MCP malicioso pode obter tokens de acesso destinados a um servidor legítimo. Segundo a descrição disponível, o problema foi corrigido na versão 0.8.5.

A CVE-2026-4809 afeta o plank/laravel-mediable até a versão 6.4.0. Em aplicações que aceitam ou priorizam o MIME type enviado pelo cliente, um atacante remoto pode enviar um arquivo com código PHP executável declarando um tipo de imagem inofensivo. A CNA atribui nota 9,8 no CVSS 3.1, mas o registro não indica exploração confirmada nem inclusão no KEV.

A CVE-2018-7602 é uma falha crítica de execução remota de código em vários subsistemas do núcleo do Drupal, classificada como injeção de código (CWE-94). O registro indica relação com a SA-CORE-2018-002 e a vulnerabilidade consta no catálogo KEV da CISA como explorada. Versões corrigidas e medidas defensivas são descritas abaixo.

A CVE-2026-32536 afeta o plugin Green Downloads para WordPress, da halfdata, até a versão 2.08, e é classificada como upload irrestrito de arquivo de tipo perigoso (CWE-434). A Patchstack, CNA responsável, atribui severidade crítica com pontuação CVSS 3.1 de 9.9, e o registro não informa versão corrigida. A vulnerabilidade não consta no catálogo KEV da CISA e as fontes consultadas não mostram exploração confirmada.

A CVE-2025-64152 é uma fragilidade de path traversal (CWE-22) no Apache IoTDB que permite que um caminho de arquivo saia de um diretório restrito. O registro indica como afetadas as faixas da versão 1.0.0 anterior à 1.3.6 e da versão 2.0.0 anterior à 2.0.7, e recomenda atualizar para a 1.3.6 ou a 2.0.7. O CNA atribuiu nota 9.1 (Crítica) no CVSS 3.1, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-54849 é uma falha de injeção de SQL não autenticada no plugin Premmerce Wishlist para WooCommerce, descrita para versões até a 1.1.11 inclusive. O CNA a classificou como crítica, com pontuação base CVSS 3.1 de 9.3. O registro não informa versão corrigida, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-32499 é uma falha de injeção de SQL cega no plugin ChatBot da QuantumCloud para WordPress, que afeta versões até a 7.7.9 segundo o registro. A Patchstack e a CISA-ADP atribuem pontuação 9.3 (crítica) no CVSS 3.1, e o registro não informa versão corrigida. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-32524 é uma falha de upload irrestrito de arquivo (CWE-434) no componente wplr-sync do Jordy Meow Photo Engine, que, segundo o registro, pode permitir o envio de um web shell para o servidor web. A CNA Patchstack classifica como crítica, com CVSS 3.1 de 9.1, e o registro indica versões afetadas até a 6.4.9 inclusive, sem versão corrigida informada. Ela não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

O RTKLIB até a versão 2.4.3, inclusive, apresenta uma escrita fora dos limites na função decode_type1033, em que contadores de tamanho não são limitados ao tamanho do buffer de destino. Segundo a CNA VulnCheck, uma mensagem RTCM3 elaborada recebida por fluxo NTRIP ou serial pode corromper memória adjacente, com pontuação CVSS 3.1 de 9.8 (crítica). Não há indicação de exploração confirmada nas fontes consultadas nem inclusão no catálogo KEV.