Análises

A CVE-2026-0106 é uma falta de verificação de limites na rotina vpu_mmap do componente vpu_ioctl no Google Android, que segundo o CNA pode permitir um mmap de endereço arbitrário. O CNA descreve possível escalada local de privilégios sem privilégios adicionais de execução e sem interação do usuário, com pontuação base CVSS 3.1 de 9.3 (crítica). Nas fontes consultadas não há exploração confirmada, e o registro não informa intervalos de versões afetadas ou corrigidas.

A CVE-2026-54843 descreve uma falha de injeção de SQL não autenticada (CWE-89) nas versões do MDTF até a 1.3.7 inclusive. O CNA atribuiu pontuação base crítica de 9,3 no CVSS v3.1, com vetor que indica acesso pela rede, baixa complexidade, sem privilégios e sem interação do usuário. Nas fontes consultadas não há versão corrigida confirmada nem exploração confirmada.

A CVE-2026-34205 afeta apps do Home Assistant (anteriormente chamados de add-ons) configurados com modo de rede host, que expõem endpoints não autenticados à rede local em sistemas Linux. Segundo o registro, qualquer dispositivo na mesma rede pode alcançar esses endpoints, e o Home Assistant Supervisor 2026.03.02 resolve o problema. O registro atribui severidade crítica (CVSS 3.1, 9,6), mas não há entrada no KEV nem exploração confirmada nas fontes consultadas.

A CVE-2026-4257 é uma falha de injeção de template no lado do servidor no plugin Contact Form by Supsystic para WordPress, que afeta todas as versões até a 1.7.36 inclusive. A Wordfence, como CNA, atribuiu pontuação CVSS 3.1 de 9,8 (Crítica) e descreve possível execução remota de código por usuários não autenticados. As fontes consultadas não mostram exploração confirmada, e o registro não identifica uma versão corrigida.

Versões do AsyncHttpClient (AHC) anteriores a 3.0.13 e 2.16.1 podem reexecutar uma requisição para outro host enquanto a requisição alvo e o contexto de proxy continuam apontando para a origem original. Segundo o registro, isso pode enviar ao destino da reexecução o caminho, o cabeçalho Host, credenciais Authorization ou requisições em texto plano do host original. A CNA do GitHub atribui pontuação 9.4 pelo CVSS 4.0, e o registro não mostra inclusão no KEV nem exploração confirmada nas fontes consultadas.

A CVE-2019-1003029 é um bypass de sandbox no Jenkins Script Security Plugin na versão 1.53 e anteriores, que permite a usuários com permissão Overall/Read executar código arbitrário na JVM do master do Jenkins. A NVD a classifica como crítica, com pontuação CVSS 3.1 de 9.9, e a CISA a inclui no catálogo de vulnerabilidades exploradas conhecidas. O registro não informa a versão corrigida, por isso os administradores devem consultar o aviso do Jenkins e atualizar o plugin.

A CVE-2020-37119 é um estouro de buffer na ferramenta DNS Lookup do Nsasoft Nsauditor nas versões 3.0.28 e 3.2.1.0, classificado como escrita fora dos limites (CWE-787). O CNA VulnCheck atribuiu pontuação CVSS 3.1 de 9.8 (crítica), e o registro também traz pontuação CVSS 4.0 de 8.4. O registro não indica inclusão no catálogo KEV da CISA, não há exploração confirmada nas fontes consultadas e nenhuma versão corrigida está registrada.

A CVE-2026-2058 é uma falha de injeção de SQL (CWE-89) no CloudClassroom-PHP-Project da mathurvishal, relatada no arquivo /postquerypublic.php. A NVD atribui pontuação CVSS 3.1 de 9.8 (Crítica), enquanto a CNA lista 7.3. O registro não informa nenhuma correção e a KEV da CISA não lista a falha.

Os modelos GeoVision GV-LPC2011 e GV-LPC2211 na versão V1.12 e anteriores apresentam um estouro de buffer baseado em pilha no componente ssvr ao processar dados de autenticação personalizada RTSP. O registro informa pontuação CVSS 3.1 de 9.8 (crítica) e não exige autenticação. O registro não indica inclusão no catálogo KEV da CISA, e nenhuma versão corrigida aparece nas fontes consultadas.

A CVE-2020-37125 é uma falha crítica de injeção de comandos no SO (CWE-78) no firmware versão 1.27 do Edimax EW-7438RPn Mini, acessível sem autenticação pelo endpoint /goform/mp. O CNA atribui pontuação 9.8 pelo CVSS 3.1 e 9.3 pelo CVSS 4.0. O registro não lista versão corrigida nem inclusão no catálogo KEV, por isso a prioridade é reduzir a exposição e verificar o status de correção junto ao fabricante.

Foi relatada uma vulnerabilidade de injeção de SQL (CWE-89) no itsourcecode Student Management System 1.0, no arquivo /ramonsys/soa/index.php, por meio do argumento ID. O registro indica exploração remota e afirma que há um exploit publicamente disponível, e a NVD atribui pontuação base CVSS 3.1 de 9.8. O CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-24302 é uma fragilidade de controle de acesso inadequado no Microsoft Azure Arc que, segundo o registro, permite a um atacante não autorizado elevar privilégios pela rede. O NVD classifica como crítica, com pontuação base CVSS 3.1 de 9,8, enquanto a pontuação do CNA no registro é 8,6. As fontes consultadas não indicam exploração confirmada, e o registro não informa versões afetadas nem corrigidas.

Foi identificada uma falha de controle de acesso inadequado no WeKan até a versão 8.20, no componente de migração de anexos, que pode ser iniciada remotamente. A versão 8.21 é indicada como correção, e o registro aponta um commit de patch. A NVD atribui pontuação CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.

O Nexa Blocks, plugin do WordPress desenvolvido por wpdive, apresenta uma falha de desserialização de dados não confiáveis (CWE-502) que permite injeção de objeto. A CNA, Patchstack, classifica o problema como Crítico, com pontuação CVSS 3.1 de 9,8, e o registro descreve versões afetadas até a 1.1.1 inclusive. Nenhuma versão corrigida nem exploração confirmada aparece nas fontes consultadas.

A CVE-2026-1496 é um bypass de autenticação crítico no Coverity Connect, causado pela ausência de um tratador de erro na lógica de autenticação usada pela ferramenta de linha de comando. Segundo o registro, um atacante que conheça ou adivinhe um nome de usuário válido poderia usar uma requisição HTTP elaborada ao endpoint /token para assumir os papéis e privilégios desse usuário. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não informa versões afetadas nem corrigidas.