Análises

A CVE-2019-25298 descreve múltiplas falhas de injeção de SQL no html5_snmp 1.11, produto atribuído a Lolypop55, nos parâmetros Router_ID e Router_IP. A NVD e a VulnCheck classificam a severidade como crítica, com pontuação base CVSS 3.1 de 9.1, e o registro está associado ao CWE-89. O CISA KEV não a lista e nenhuma exploração confirmada aparece nas fontes consultadas, embora haja uma entrada na Exploit-DB referenciada.

O NVD e o CNA descrevem uma falha no tratamento de hostnames TLS do Node.js, em que hostnames com byte nulo embutido podem ser truncados em bindings de resolver e levar a rebinding silencioso de autoridade. O NVD classifica como crítica, com CVSS 3.1 de 9.8, e o registro lista as linhas de release Node.js 22, 24 e 26 como afetadas. Nas fontes consultadas não há exploração confirmada.

As versões do Gogs 0.13.3 e anteriores continuam expostas à execução remota de comandos, pois a correção anterior da CVE-2024-56731 foi insuficiente. A falha é classificada como injeção de comandos do SO (CWE-78) e recebeu severidade crítica, com pontuação base CVSS 3.1 de 9.8 no NVD. A principal medida é atualizar para 0.13.4 ou 0.14.0+dev, e as fontes consultadas não mostram exploração ativa confirmada.

A CVE-2026-54917 é uma falha de travessia de diretório nos gateways da API S3 e do catálogo REST Iceberg do SeaweedFS anteriores à versão 4.30. Como a limpeza de caminhos está desativada no roteador, segmentos de diretório pai em chaves de objeto podem desviar a requisição para outro bucket. O registro classifica a severidade como crítica e indica correção na versão 4.30.

A CVE-2026-57926 é uma fraqueza de prototype pollution (CWE-1321) na ponte websandbox do JetBrains YouTrack anterior à versão 2026.2.16593. O NVD a classifica como crítica, com pontuação CVSS 3.1 de 9.8, enquanto o CNA informa outra pontuação, de 2.6. Não há exploração confirmada nas fontes consultadas, e o registro não traz uma versão corrigida explícita, então o aviso do fornecedor deve ser consultado.

De acordo com o registro, uma falha de injeção de código (CWE-94) afeta o produto JetFormBuilder, da jetmonsters, nas versões até 3.5.6.1 inclusive. O CNA atribuiu pontuação CVSS 3.1 crítica de 9.9, e o vetor indica acesso pela rede com privilégios baixos exigidos. Não há versão corrigida nem exploração confirmada nas fontes consultadas.

A CVE-2026-54823 é uma falha crítica de execução remota de código nas versões do Widget Options até a 4.2.3 inclusive, classificada como CWE-94 (Injeção de Código). O CNA atribuiu nota 9.9 pelo CVSS 3.1, com vetor de escopo alterado que exige privilégios baixos e nenhuma interação do usuário. Os registros disponíveis não informam versões corrigidas e a vulnerabilidade não consta no catálogo KEV da CISA.

A CVE-2026-24300 é uma vulnerabilidade crítica de elevação de privilégio no Microsoft Azure Front Door, classificada como controle de acesso inadequado (CWE-284), com pontuação base CVSS 3.1 de 9,8 informada pelo CNA. O registro disponível não especifica versões afetadas nem correções, por isso o Microsoft Security Update Guide é a fonte primária a consultar. Não há exploração confirmada nas fontes consultadas.

CVE-2026-27049 é um bypass de autenticação por caminho ou canal alternativo (CWE-288) no NooTheme Jobica Core (jobica-core), com versões indicadas até a 1.4.2. A Patchstack, como CNA, classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8. O registro não traz versão corrigida nem exploração confirmada.

A CVE-2026-27083 é uma fraqueza de desserialização de dados não confiáveis (CWE-502) no tema work-travel-company da ThemeREX, que afeta o Work & Travel Company até a versão 1.2 inclusive, conforme o registro. A CNA Patchstack atribuiu nota 9.8 (crítica) no CVSS 3.1, com vetor de rede, sem necessidade de privilégios ou interação do usuário. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não informa versão corrigida.

A falta de autenticação em endpoints WebSocket pode permitir que atacantes se façam passar por estações de recarga. A CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.4. O registro não lista versões afetadas nem versões corrigidas.

A CVE-2026-2053 afeta o componente de message flow do WSO2 API Manager, que não valida suficientemente a entrada controlada pelo usuário nos cabeçalhos WS-Addressing, possibilitando Server-Side Request Forgery (CWE-918). A NVD atribui pontuação base CVSS 3.1 de 10.0 (Crítica), com vetor de rede, sem privilégios e sem interação do usuário. Equipes defensivas devem identificar implantações nas faixas afetadas listadas, consultar o aviso do fornecedor para as versões corrigidas e restringir o tráfego de saída dos hosts do API Manager para recursos internos.

A CVE-2026-50548 é uma fraqueza de path traversal (CWE-22) no Cursor em versões anteriores à 3.0, em que o sandbox usado para comandos de terminal do agente pode incluir caminhos graváveis fora do workspace pretendido. Segundo o registro, isso poderia permitir que um agente malicioso grave arquivos fora do workspace com os privilégios do usuário, levando a execução remota de código sem sandbox. A NVD atribui CVSS 3.1 9.8 (Crítica), o registro indica correção na versão 3.0, e não há exploração confirmada nas fontes consultadas.

A CVE-2020-37124 descreve um estouro de buffer baseado em pilha no b64dec 1.1.2 que pode permitir que um atacante sobrescreva o Structured Exception Handler com entrada elaborada durante a decodificação base64. O registro traz pontuação CVSS 3.1 de 9,8 (crítica) fornecida pela VulnCheck, e a CVE não consta no catálogo KEV da CISA. As fontes consultadas não documentam versões afetadas ou corrigidas além da versão citada na descrição.

A CVE-2026-54836 é uma vulnerabilidade crítica de injeção de SQL no YMC Filter, divulgada pela Patchstack com pontuação base CVSS 3.1 de 9.3. O registro indica versões afetadas de n/a até 3.11.5, mas não lista versão corrigida estruturada. A CVE não consta no catálogo KEV e nenhuma exploração confirmada aparece nas fontes consultadas.