Análises

O Opensolution Quick.Cart está sujeito a fixação de sessão (CWE-384): o identificador de sessão pode ser definido antes da autenticação e permanece o mesmo após o login, o que pode permitir que um atacante sequestre uma sessão autenticada. O CNA CERT.PL informa que apenas a versão 6.7 foi testada e confirmada como vulnerável, e o fornecedor não divulgou a faixa de versões vulneráveis. A NVD atribui pontuação 9.8 pelo CVSS 3.1, enquanto o CERT.PL atribui 4.8 pelo CVSS 4.0.

A CVE-2026-32539 é uma vulnerabilidade de injeção de SQL cega (CWE-89) no PublishPress Revisions, plugin do WordPress, segundo o registro, nas versões até a 3.7.23 inclusive. A CNA Patchstack atribuiu pontuação CVSS 3.1 de 9.3 (crítica), e o registro não indica exploração confirmada. Nenhuma versão corrigida aparece nas fontes consultadas.

A CVE-2026-1963 afeta o WeKan até a versão 8.20 e é classificada como controle de acesso inadequado no componente de armazenamento de anexos. O registro indica que o problema pode ser explorado remotamente e que a atualização para a versão 8.21 o mitiga. A NVD atribui pontuação 9.8 (crítica) pelo CVSS 3.1, as pontuações do CNA são menores, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-3356 é um bypass de autenticação no MS27102A Remote Spectrum Monitor que permite a usuários não autorizados acessar e alterar a interface de gerenciamento. Segundo o registro, o equipamento não oferece meio de habilitar ou configurar autenticação, e o ICS-CERT classifica a severidade como crítica, com pontuação 9.3 no CVSS 4.0. O registro não traz versões afetadas nem correções, e a falha não consta no catálogo KEV da CISA.

A CVE-2026-55413 afeta o ToolJet em versões anteriores à 3.20.178-lts. Um usuário autenticado com a função builder pode sobrescrever um plugin do marketplace compartilhado globalmente com JavaScript executado no lado do servidor. O registro classifica a severidade como crítica (CVSS 4.0, pontuação 9.4), e nenhuma exploração confirmada aparece nas fontes consultadas.

Um estouro de buffer baseado em pilha, critico e sem necessidade de autenticacao, no componente vlsvr das GeoVision GV-LPC2011 e GV-LPC2211 (V1.12 e anteriores) pode ser acionado remotamente por dados de login elaborados. O CNA atribuiu pontuacao base CVSS 3.1 de 9.8. O registro nao indica inclusao no catalogo KEV da CISA, e nenhuma exploracao confirmada aparece nas fontes consultadas.

A CVE-2026-2011 é uma injeção de SQL (CWE-89) no itsourcecode Student Management System versão 1.0, acionada pela manipulação do argumento ID e explorável remotamente. A NVD atribui pontuação 9,8 no CVSS 3.1, e a descrição informa que existe exploit público. O registro não traz versão corrigida nem inclusão no catálogo KEV.

O Pinger 1.0 é afetado por uma falha de injeção de comando do sistema operacional (CWE-78) que, segundo o registro, permite execução remota de código pelos parâmetros ping e socket. A pontuação base CVSS 3.1 de 9.8 (crítica) é da VulnCheck, e o CISA KEV não lista esta CVE. O registro não traz dados estruturados de versões afetadas ou corrigidas, portanto o status de correção é desconhecido.

A CVE-2026-32512 descreve uma falha de desserialização de dados não confiáveis (CWE-502) no tema Pelicula, da Edge-Themes, classificada como injeção de objeto. O registro indica que versões anteriores à 1.10 são afetadas, e a CNA Patchstack atribuiu pontuação CVSS 3.1 de 9.8 (crítica). Não há exploração confirmada nas fontes consultadas.

A CVE-2026-57880 é um estouro de buffer baseado em pilha, de severidade crítica, no componente ssvr dos dispositivos GeoVision GV-LPC2011 e GV-LPC2211, na versão V1.12 e anteriores. Segundo o registro, pode ser acionada sem autenticação por uma requisição RTSP com campos de autenticação Digest excessivamente longos. O CNA atribui nota 9.8 (CVSS 3.1), e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-6094 é uma leitura de buffer no heap além dos limites na rotina wc_PKCS7_DecodeEnvelopedData do wolfSSL, ao processar PKCS7 EnvelopedData malformado. O registro indica que isso poderia, em tese, ser acionado por dados controlados por um atacante entregues via S/MIME ou CMS. A NVD atribui 9.1 pelo CVSS 3.1 e o CNA informa 6.3 pelo CVSS 4.0, sem inclusão no KEV nem exploração confirmada nas fontes consultadas.

O Anysphere Cursor em versões anteriores à 3.0 pode escrever arquivos fora do workspace quando a canonicalização de caminho falha, pois o agente recorre ao caminho original sem aprovação. A NVD atribui CVSS 3.1 de 9.8 e o CNA GitHub atribui CVSS 4.0 de 9.3, e o registro descreve possível Execução Remota de Código fora do sandbox. O registro informa que a correção está na versão 3.0 e não consta no catálogo KEV da CISA.

Uma vulnerabilidade de injeção de código (CWE-94) afeta o plugin WordPress Widget Wrangler, de Jonathan Daggerhart, segundo o registro, nas versões até a 2.3.9 inclusive. A CNA audit@patchstack.com atribuiu pontuação 9.1 (crítica) no CVSS 3.1. Não há exploração confirmada nas fontes consultadas, e o registro não indica versão corrigida.

A CVE-2026-32519 afeta o plugin Bit SMTP para WordPress, da Bit Apps, e é classificada como atribuição incorreta de privilégios (CWE-266), o que permite escalonamento de privilégios. A Patchstack e a CISA-ADP atribuem pontuação base CVSS 3.1 de 9.0 (Crítica) para um ataque de rede que não exige privilégios nem interação do usuário. O registro não indica versão corrigida nem exploração confirmada.

Versões do AutoGPT Platform anteriores a autogpt-platform-beta-v0.6.34 apresentam uma falha de server-side request forgery (SSRF) no SendDiscordFileBlock, em que a URL informada é buscada sem filtragem. O registro informa que a correção está na v0.6.34, e a NVD atribui nota 9.8 (CVSS 3.1, crítica). Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.