Análises

O registro descreve uma falha de desserialização insegura de dados não confiáveis (CWE-502) no tema ThemeREX Buisson que permite object injection. A CNA Patchstack informa pontuação CVSS 3.1 base de 9,8 para versões até a 1.1.11, inclusive. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo CISA KEV.

A CVE-2026-27051 é uma fraqueza de Atribuição Incorreta de Privilégios (CWE-266) no produto uxper Golo, que o registro indica permitir escalonamento de privilégios. O registro traz pontuação CVSS 3.1 base de 9.8, atribuída pelo CNA Patchstack, e a faixa de versões de n/a até 1.7.0, mas não traz lista estruturada de versões corrigidas. Recomenda-se verificar as instalações dentro da faixa indicada e consultar o aviso do fornecedor para atualização.

A CVE-2022-22947 é uma falha crítica de injeção de código (CWE-917, Injeção de Expression Language) no VMware Spring Cloud Gateway quando o endpoint Actuator do Gateway está habilitado, exposto e sem proteção. O registro informa pontuação CVSS 3.1 de 10 e que a falha consta no catálogo KEV da CISA. Administradores devem atualizar para as versões corrigidas indicadas pelas fontes e restringir o acesso ao endpoint Actuator.

O Memu Play 7.1.3 é apontado como tendo permissões inseguras de pasta, o que permite que usuários com poucos privilégios modifiquem o executável do serviço MemuService.exe. O registro associa a falha à elevação de privilégios para SYSTEM e informa pontuação CVSS 3.1 de 9.8 fornecida pelo CNA. Não há exploração confirmada nas fontes consultadas, e o registro não lista versão corrigida.

A CVE-2025-62615 é uma vulnerabilidade de server-side request forgery (SSRF) no RSSFeedBlock do AutoGPT Platform, em que a URL recebida pela função urllib.request.urlopen não é filtrada. O NVD classifica a severidade como crítica, com nota 9.8 no CVSS 3.1, e o projeto informa que o problema foi corrigido na autogpt-platform-beta-v0.6.34. O registro não indica inclusão no catálogo KEV e não há exploração confirmada nas fontes consultadas.

A CVE-2026-2057 é uma falha de SQL injection (CWE-89) na página /login.php do Medical Center Portal Management System 1.0, produto atribuído à SourceCodester no registro. O registro informa que a falha pode ser explorada remotamente e que existe exploit público, mas a CVE não consta no catálogo KEV da CISA e não há exploração confirmada no campo nas fontes consultadas. Nenhuma correção do fornecedor é registrada, por isso as equipes devem considerar o produto exposto até que o fornecedor ou os mantenedores confirmem o contrário.

A CVE-2026-103877 é uma fraqueza de desserialização de dados não confiáveis (CWE-502) no Apache Directory LDAP API, que afeta as versões desde a 2.1.0 até antes da 2.1.9. Segundo a descrição do CNA, um servidor LDAP não autorizado ou comprometido, ou uma interceptação antes do TLS, poderia responder com um objeto de esquema contendo uma classe Java serializada durante loadSchema(), o que pode permitir execução remota de código. O CNA recomenda atualizar para a 2.1.9, e o registro informa pontuação CVSS 3.1 de 9.8, com severidade crítica.

A CVE-2026-31920 é uma falha de injeção de SQL (CWE-89) no plugin Product Rearrange for WooCommerce, da Devteam HaywoodTech, descrita como capaz de permitir injeção de SQL cega. O registro indica versões até a 1.2.2 inclusive e atribui pontuação CVSS 3.1 de 9.3, classificada como crítica, pelo CNA. As fontes consultadas não informam versão corrigida, exploração confirmada nem inclusão no catálogo KEV.

A CVE-2026-41120 afeta o Dell Wyse Management Suite em versões anteriores ao WMS 5.5 HF1. O registro a classifica como CWE-349 e informa pontuação CVSS 3.1 de 9,8 (crítica) fornecida pelo CNA, que descreve um ataque acessível pela rede sem privilégios nem interação do usuário. Não aparece exploração confirmada nas fontes consultadas, e o registro não indica versão corrigida, por isso administradores devem consultar o aviso do fabricante.

A CVE-2026-2017 afeta o firmware do IP-COM W30AP até a versão 1.0.0.11(1340). Segundo o registro, um atacante remoto pode provocar um estouro de buffer baseado em pilha pelo argumento data tratado em /goform/wx3auth. A CNA classifica a falha como crítica (CVSS 3.1 de 9.8) e informa que há exploit público, mas a vulnerabilidade não consta no catálogo KEV e o fabricante não respondeu à divulgação.

Foi relatada uma injeção de SQL (CWE-89) no School Management System 1.0 da itsourcecode, em que a manipulação do argumento ID pode afetar consultas ao banco de dados. O registro indica que o ataque pode ser iniciado remotamente e que existe exploit publicado, e o NVD atribui nota 9.8 (CVSS 3.1, crítica). As fontes consultadas não mostram inclusão no catálogo KEV nem versão corrigida, por isso é recomendável verificar a versão instalada e restringir a exposição.

A CVE-2026-32482 é um caso de upload irrestrito de arquivo de tipo perigoso (CWE-434) no produto deothemes Ona, que, segundo o registro, permite enviar uma web shell para um servidor web. O CNA informa pontuação CVSS 3.1 de 9.9 (Crítica) e o registro indica versões afetadas abaixo da 1.24. A CVE não consta no catálogo CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-25413 é uma falha crítica de upload irrestrito de arquivo (CWE-434) no plugin WordPress WPBookit Pro, da iqonicdesign. O registro indica afetação até a versão 1.6.18, e a Patchstack atribuiu nota 9.9 no CVSS 3.1, com vetor de rede e privilégios baixos exigidos. Não há versão corrigida, inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.

A CVE-2020-37120 é um estouro de buffer no campo de entrada de nome do servidor DICOM do Rubo DICOM Viewer 2.0, conforme descrito no registro. A descrição indica que a falha pode sobrescrever o Structured Exception Handler e levar à execução remota de código. O registro traz pontuação CVSS 3.1 de 9.8 (crítica), ausência de inclusão no KEV e nenhuma lista estruturada de versões afetadas ou corrigidas.

A CVE-2026-32573 é uma falha de injeção de código (CWE-94) no plugin Nelio AB Testing para WordPress, que afeta versões até a 8.2.7 inclusive, conforme registrado pela Patchstack. A Patchstack e o CISA-ADP atribuem pontuação 9.1 (Crítica) no CVSS 3.1, e o vetor exige privilégios altos. As fontes consultadas não trazem versão corrigida nem exploração confirmada.