Análises

A CVE-2026-32520 é uma falha de atribuição incorreta de privilégios (CWE-266) no plugin WordPress RewardsWP, de Andrew Munro / AffiliateWP, que segundo o CNA permite escalonamento de privilégios nas versões até a 1.0.4. O CNA atribuiu nota 9.8 (crítica) pelo CVSS 3.1, mas o registro não informa versão corrigida e o limite inferior do intervalo afetado aparece como n/a. Não há exploração confirmada nas fontes consultadas.

Uma falha de desserialização de dados não confiáveis (CWE-502) no tema WordPress Love Story da ThemeREX permite Object Injection, segundo o registro CVE. A CNA classifica como crítica, com pontuação base CVSS 3.1 de 9.8, e a faixa afetada vai até a versão 1.3.12. O registro não traz versão corrigida estruturada nem inclusão no catálogo KEV.

A CVE-2026-13028 é uma falha de use-after-free no componente WebGL do Google Chrome para Android, classificada como CWE-416. O registro descreve que um atacante remoto poderia, potencialmente, obter uma fuga de sandbox por meio de uma página HTML criada para esse fim, com pontuação base CVSS 3.1 de 9.6. Recomenda-se atualizar o Chrome para Android para a versão 149.0.7827.197 ou superior; não há exploração confirmada nas fontes consultadas.

O CloudMe 1.11.2 apresenta um estouro de buffer clássico (CWE-120) que, segundo o registro, pode ser acionado por pacotes de rede elaborados enviados ao serviço na porta 8888 para executar código arbitrário. A CNA VulnCheck atribui pontuação 9.8 no CVSS 3.1 e 8.6 no CVSS 4.0. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas, e o registro não traz dados de versões afetadas ou corrigidas.

As versões do SiYuan anteriores à 3.7.0 tratam mal o conteúdo de snippets CSS, que pode sair do seu contêiner de estilo e executar JavaScript no renderer. Segundo o aviso, em builds desktop com Electron isso pode chegar à execução de código no sistema hospedeiro, e snippets sincronizados podem afetar outros dispositivos. O aviso indica que a correção está na versão 3.7.0.

A CVE-2020-37066 é um buffer overflow baseado em pilha no GoldWave 5.70, descrito como acionável pelo diálogo File Open URL ao abrir um arquivo de texto especialmente elaborado. A CNA VulnCheck atribui pontuação 9.8 (crítica) no CVSS 3.1 e 8.4 no CVSS 4.0. O CISA KEV não a lista e o registro não traz versões afetadas nem corrigidas.

Uma falha no iniciador ib_srp do kernel Linux permite que um alvo SRP malicioso ou comprometido provoque uma leitura além do buffer de recepção ao processar dados de sense do SRP_RSP. O registro traz pontuação CVSS 3.1 de 9.1 atribuída pelo CNA e lista faixas de versões afetadas com correções nos ramos estáveis. Nenhuma exploração confirmada aparece nas fontes consultadas.

O componente servidor SMB ksmbd do kernel Linux pode liberar uma requisição criptográfica AEAD enquanto um mecanismo assíncrono de hardware, como o Qualcomm Crypto Engine, ainda a utiliza, resultando em use-after-free (CWE-416). O registro informa pontuação base CVSS 3.1 de 9.8 fornecida pelo CNA, e há vários commits de correção em versões estáveis do kernel referenciados. Nas fontes consultadas não há exploração confirmada, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-41566 é uma vulnerabilidade no Apache Kvrocks classificada como tratamento inadequado de permissões ou privilégios insuficientes (CWE-280). O CNA informa que a versão 2.8.0 é afetada e recomenda atualizar para a versão 2.16.0, que corrige o problema. A pontuação base CVSS 4.0 fornecida pelo CNA é 9.4 (crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.

O gerenciador distribuído de travas ocfs2 do kernel Linux usa o campo qr_numregions de mensagens DLM_QUERY_REGION recebidas como limite de laços sem verificá-lo antes. Segundo o registro, uma mensagem forjada pode causar acesso à memória fora dos limites, e a CNA classifica a falha como Crítica, com pontuação CVSS 3.1 de 9.1. O registro lista commits de correção nas versões estáveis do kernel, e nenhuma exploração confirmada aparece nas fontes consultadas.

As versões do Cacti 1.2.30 e anteriores contêm uma falha de injeção de SQL (CWE-89) no parâmetro rfilter tratado por graph_view.php. Quando a visualização de gráficos para visitantes está habilitada, a falha pode ser alcançada sem autenticação. O problema foi corrigido na versão 1.2.31.

As versões do Gogs anteriores à 0.14.3 aceitam nomes de organização com sequências de path traversal, o que pode fazer dados de repositórios serem gravados em locais arbitrários do sistema de arquivos. O registro indica que isso pode ser usado para sobrescrever a configuração de hooks de outro repositório e alcançar execução remota de código, e que a correção está na versão 0.14.3. A pontuação base CVSS 3.1 de 10.0 é reportada como crítica pelo CNA.

Uma falha de lógica na verificação de papel para roadmaps do PEAR Pearweb, em versões anteriores à 1.33.0, permite que mantenedores que não são líderes criem, alterem ou excluam roadmaps. O problema foi corrigido na versão 1.33.0. O registro indica pontuação CVSS 3.1 de 9.1 (crítica) pelo NVD, e nenhuma exploração confirmada aparece nas fontes consultadas.

Versões do Appsmith anteriores à 2.1 contêm uma falha de server-side request forgery (SSRF) no filtro de hosts de saída usado pelos plugins de datasource REST API e GraphQL. O filtro usa uma lista de bloqueio com correspondência exata de strings, e as verificações mais abrangentes de classes de endereço, presentes em outro caminho de código (usado por SMTP), não se aplicam às requisições HTTP. A descrição informa que a correção está na versão 2.1, e o NVD atribui pontuação CVSS 3.1 base de 9.1 (crítica).

O SiYuan, sistema de gestão de conhecimento pessoal de código aberto, possui uma falha de cross-site scripting armazenado no renderizador de células de assets do recurso Attribute View (banco de dados). Segundo o registro, a falha pode escalar para execução remota de código no cliente desktop Electron, e é corrigida na versão 3.7.0. O CNA do GitHub informa pontuação CVSS 3.1 de 9.9 (crítica).