Análises

A CVE-2026-1632 afeta a MOMA Seismic Station na versão v2.4.2520 e anteriores, cuja interface web de gerenciamento não exige autenticação. Segundo o registro, um atacante não autenticado poderia alterar configurações, obter dados do equipamento ou reiniciá-lo remotamente. O registro informa pontuação CVSS 3.1 de 9.1 (crítica) e CVSS 4.0 de 9.3, ambas atribuídas pelo CISA ICS-CERT.

As versões do Rclone da 1.46.0 até antes da 1.74.3 são afetadas quando o serviço rcd --rc-serve está em uso, pois ele aceita requisições GET e HEAD sem autenticação que podem levar à execução de comandos durante a inicialização do backend. O registro classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8 fornecida pelo CNA, e informa que a correção está na versão 1.74.3. Nenhuma exploração confirmada aparece nas fontes consultadas.

O componente nfnetlink_osf do netfilter no kernel Linux apresenta uma leitura fora dos limites (CWE-125) durante a correspondência de opções TCP usadas em impressões digitais de sistema operacional. Um ponteiro de análise compartilhado não era restaurado entre as verificações, então as verificações seguintes podiam ler dados inválidos e falhar. A pontuação CVSS 3.1 fornecida pelo CNA é 9.1 (crítica), e o registro não indica inclusão no KEV nem exploração confirmada.

Um use-after-free (CWE-416) no driver Ethernet mtk_eth_soc do kernel Linux pode ocorrer quando um metadata dst é liberado imediatamente, sem respeitar o período de carência do RCU. O escore CVSS 3.1 base atribuído pelo CNA é 9.8 (Crítico), e o registro aponta cinco commits de correção na árvore stable. As fontes consultadas não mostram exploração confirmada.

Um erro de lógica no driver de memória tegra124-emc do kernel Linux inverteu a verificação que indica se a DLL está habilitada no registrador EMRS. Os commits estáveis upstream corrigem essa condição em vários ramos do kernel. O CNA classifica o registro como crítico, com nota 9,8, mas o registro não detalha um impacto que justifique essa pontuação.

A CVE-2026-46752 é um estouro de buffer baseado em heap (CWE-122) na biblioteca cjson usada por meio de scripts Lua no Apache Kvrocks. O registro informa que as versões de 2.0.4 até 2.15.0 são afetadas e recomenda atualizar para a 2.16.0. O registro classifica a falha como crítica, com pontuação base CVSS 4.0 igual a 10, e não há exploração confirmada nas fontes consultadas.

O código GFS2 do kernel Linux chama rotinas de descarga de log a partir de gfs2_logd() sem manter sdp->sd_log_flush_lock, bloqueio que essas rotinas precisam para excluir transações concorrentes. Commits upstream adicionam o auxiliar sem bloqueio __gfs2_log_flush() e fazem gfs2_logd() obter o bloqueio antes das chamadas de descarga. A CNA atribuiu nota 9.8 (crítica) pelo CVSS 3.1, e nenhuma exploração confirmada aparece nas fontes consultadas.

Versões do PEAR Pearweb anteriores à 1.33.0 contêm uma falha de injeção de SQL na exclusão de categorias, em que o id de uma categoria pode ser usado para injetar SQL. O registro informa que o problema foi corrigido na 1.33.0, e a NVD o classifica como Crítico, com pontuação CVSS 3.1 de 9.8. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-53175 é um use-after-free (CWE-416) no código de remontagem de fragmentos inet do kernel Linux. Filas de fragmentos incompletas, descarregadas durante a destruição de um network namespace, mantêm ponteiros para buffers já liberados, que um fragmento retardado pode desreferenciar. O CNA atribui pontuação 9,8 (crítica) no CVSS 3.1, e o registro não mostra exploração confirmada.

As versões do concurrent-ruby anteriores à 1.3.7 permitem que qualquer thread libere um bloqueio de escrita mantido por outra thread em Concurrent::ReadWriteLock, e o release_read_lock pode levar o contador compartilhado abaixo de zero. O registro classifica a severidade como crítica, com CVSS 3.1 9.8 pela NVD e 2.1 pelo CVSS 4.0 do GitHub. Não há exploração confirmada nas fontes consultadas, e a correção está na versão 1.3.7.

Uma fraqueza de injeção de SQL (CWE-89) afeta o Martcode Software Inc. Delta Course Automation até 04022026, conforme registro publicado pelo CNA turco USOM. O CNA atribuiu pontuação base CVSS 3.1 de 9.8, porém o registro não traz detalhes de versões afetadas ou corrigidas, e o fornecedor não respondeu à divulgação antecipada.

A CVE-2026-53006 é uma falha de use-after-free no caminho de recebimento ICMPv6 do IPv6 no kernel Linux, classificada como CWE-416. A CNA atribui pontuação 9.8 (CVSS 3.1, crítica), e o registro lista correções em vários ramos estáveis do kernel e em releases do Red Hat Enterprise Linux. Não há inclusão no KEV e nenhuma exploração confirmada foi identificada nas fontes consultadas.

A CVE-2026-53055 é uma falha de use-after-free (CWE-416) no driver crypto HiSilicon SEC2 do kernel Linux. Segundo o registro, o hardware pode liberar a estrutura de requisição antes que a rotina de transmissão termine de usá-la, e a correção substitui essa referência pelo contexto qp_ctx. O registro informa pontuação CVSS 3.1 base de 9.8 e vincula commits de correção nas versões estáveis do kernel para as faixas afetadas.

A CVE-2025-69981 afeta o Frangoteam FUXA na versão 1.2.7 e é classificada como upload irrestrito de arquivo de tipo perigoso (CWE-434). O endpoint /api/upload não exige autenticação, o que, segundo o registro, permite que um atacante remoto não autenticado envie arquivos arbitrários, inclusive para sobrescrever o banco de usuários SQLite ou enviar scripts. A NVD classifica a severidade como crítica (9.8, CVSS 3.1), e nenhuma versão corrigida aparece nas fontes consultadas.

A CVE-2026-1341 afeta o Avation Light Engine Pro, cuja interface de configuração e controle fica exposta sem autenticação ou controle de acesso. O registro do CNA indica pontuação CVSS 4.0 de 9.3 (crítica) e associa a fraqueza ao CWE-306. Os dados disponíveis não listam versões afetadas, versões corrigidas nem inclusão no catálogo KEV da CISA.