Análises

A CVE-2026-25049 afeta o n8n, uma plataforma de automação de fluxos de trabalho de código aberto, nas versões anteriores a 1.123.17 e na linha 2.x anterior a 2.5.2. Segundo o registro, um usuário autenticado com permissão para criar ou modificar fluxos poderia usar expressões elaboradas em parâmetros de fluxo para provocar execução não intencional de comandos no host. O NVD classifica como crítica, com pontuação CVSS 3.1 de 9.9, e o problema está corrigido nas versões 1.123.17 e 2.5.2.

As versões 1.2.30 e anteriores do Cacti repassam a variável de requisição rfilter para uma cláusula SQL RLIKE sem sanitização, caracterizando uma injeção de SQL (CWE-89). O registro indica que o problema é alcançável sem autenticação em instalações com visualização de gráficos para convidados habilitada, e é classificado como crítico com pontuação CVSS 3.1 de 9.8. A correção está disponível na versão 1.2.31.

A CVE-2026-53151 é uma falha no parser de ACK do AF_RXRPC do kernel Linux, em que a tabela SACK era lida de um buffer recebido que nem sempre é contíguo ou seguro para acesso. A correção copia a tabela SACK para um buffer separado antes da análise. O registro mostra pontuação CVSS 3.1 de 9,8 atribuída pelo CNA, não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A CVE-2026-8665 é uma falha de injeção de comando do SO na ação TR do Plugin Translate do Rapid7 InsightConnect em Linux, publicada com a Rapid7 como CNA. O registro indica que atacantes remotos podem executar comandos arbitrários do SO pelos parâmetros text ou expression, pois a entrada não é sanitizada de forma suficiente antes da montagem de comandos de shell. A NVD informa pontuação CVSS 3.1 de 9.8 e a CNA informa 7.7, e nenhuma exploração confirmada aparece nas fontes consultadas.

Uma falha no netfilter do kernel Linux permite que vários módulos, incluindo xt_mac, ip6t_eui64, os tipos de ipset baseados em MAC e nf_log_syslog, leiam o cabeçalho Ethernet sem antes confirmar que o pacote pertence a um dispositivo Ethernet e possui cabeçalho MAC válido. O registro atribui pontuação CVSS 3.1 de 9,4 (crítica) pelo CNA e lista sete patches em árvores estáveis. Nenhuma exploração confirmada aparece nas fontes consultadas.

O adaptador serial para ethernet Synectix LAN 232 TRIO 3-Port expõe sua interface web de gerenciamento sem exigir autenticação, conforme descrito no CVE-2026-1633 (CWE-306). Segundo o registro, um usuário não autenticado pode alterar configurações críticas do equipamento ou restaurá-lo ao padrão de fábrica. O registro informa pontuação CVSS 3.1 base 10 e CVSS 4.0 de 10, emitidas pelo ICS-CERT, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-25052 é uma falha crítica na n8n, plataforma de automação de fluxos de trabalho de código aberto, que afeta versões anteriores à 1.123.18 e versões a partir da 2.0.0 até antes da 2.5.0. Segundo o registro, usuários autenticados que podem criar ou modificar fluxos de trabalho podem ler arquivos sensíveis do sistema hospedeiro, o que pode expor dados de configuração e credenciais. O fornecedor informa que o problema foi corrigido nas versões 1.123.18 e 2.5.0.

A CVE-2025-69983 afeta o FUXA 1.2.7, em que a importação de um arquivo de projeto pode levar à execução remota de código, pois scripts fornecidos pelo usuário não são devidamente sanitizados ou isolados. O NVD classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.

A CVE-2025-10878 descreve uma falha de injeção SQL na funcionalidade de login do Fikir Odalari AdminPando 1.0.1, em que os parâmetros de usuário e senha podem ser explorados por atacantes não autenticados para contornar a autenticação. O registro indica pontuação CVSS 3.1 de 10 e CWE-89, com possível acesso administrativo completo à aplicação. Não há exploração confirmada listada no CISA KEV nas fontes consultadas.

A CVE-2026-1813 é uma falha de upload irrestrito de arquivo (CWE-434) no Bolo-solo até a versão 2.6.4, em uma função do componente FreeMarker Template Handler. A NVD atribui pontuação CVSS 3.1 base de 9,8 (crítica), enquanto as pontuações da CNA VulDB são menores, e o registro indica que existe um exploit tornado público. O projeto foi informado por meio de uma issue e, até o momento do registro, não havia respondido.

Versões do Gogs anteriores à 0.14.3 permitem que usuários autenticados provoquem injeção de comando por meio de um nome de branch elaborado durante a operação de rebase antes do merge em um pull request, o que, segundo o registro, pode levar à execução remota de código. O registro atribui pontuação CVSS 3.1 base crítica de 9.9 e informa que o problema está corrigido na 0.14.3. O CVE não consta no catálogo CISA KEV segundo o registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-39938 afeta as versões 1.2.30 e anteriores do Cacti, descritas como vulneráveis a inclusão de arquivo local não autenticada por meio de graph_theme e do hardening de serialização IPC do rrdtool. O GitHub classifica a falha como Crítica, com pontuação base CVSS 3.1 de 9.8, e informa que ela foi resolvida na versão 1.2.31. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-55570 afeta versões do SiYuan anteriores à 3.7.0, nas quais campos não confiáveis de pacotes não são escapados no marcado dos cards do marketplace. No cliente desktop, esse XSS baseado em DOM pode escalar para execução arbitrária de comandos no sistema operacional, e o registro classifica a severidade como crítica com CVSS 3.1 nota 9. A atualização para a versão 3.7.0 ou superior é a principal medida, e nenhuma exploração confirmada aparece nas fontes consultadas.

O SiYuan Note, em versões anteriores à 3.7.0, confia em todas as origens chrome-extension:// com privilégios de administrador no servidor HTTP local do kernel. Segundo o registro, a instalação desktop padrão não possui código de autorização de acesso, o que permitiria que extensões instaladas no navegador acessassem a API administrativa. O registro informa que a correção está na versão 3.7.0.

O FOSSBilling nas versões 0.7.2 e anteriores contém um bypass de autenticação em um endpoint da API para convidados, destinado à configuração inicial do administrador. O endpoint continua acessível depois que já existe um administrador, o que pode permitir a criação de uma conta administrativa privilegiada. O GitHub classifica a falha como Crítica, com CVSS 4.0 de 9.3, e indica correção na versão 0.8.0.