Análises

A CVE-2026-9054 afeta o sistema operacional 9front e pode ser acionada por pacotes tcp, il, rudp ou gre com comprimento menor que o tamanho do cabeçalho, provocando um kernel panic. A pontuação CVSS 4.0 de 9.2 é informada pelos dois provedores listados, mas o registro não mostra inclusão no catálogo KEV e a probabilidade EPSS é baixa. As referências de commit indicam trabalho de mitigação, e os administradores devem verificar se seus sistemas incluem essas alterações.

A CVE-2026-42740 é uma falha crítica de injeção de SQL cega (CWE-89) no plugin Tainacan para WordPress, reportada pela Patchstack. O registro indica versões afetadas até a 1.0.3, inclusive, com pontuação CVSS 3.1 base de 9.3. As fontes consultadas não mostram exploração confirmada, e o registro não informa versão corrigida.

A CVE-2026-48700 afeta o LXQt PCManFM-Qt. Quando o caminho de um arquivo regular é passado como URI em uma chamada ao método D-Bus org.freedesktop.FileManager1.ShowFolders, a aplicação entrega o arquivo a outro programa escolhido pelo tipo do arquivo, sem confirmação do usuário. A MITRE atribui pontuação 9.3 pelo CVSS 4.0, mas o registro não lista versão corrigida, a CVE não consta no catálogo KEV da CISA e o registro observa que o comportamento está em conformidade com a especificação aplicável.

A CVE-2026-9475 é uma fraqueza de injeção de comando (CWE-77) relatada na interface Web Management do Totolink A8000RU, firmware 7.1cu.643_b20200521. O registro descreve a falha na função setIpQosRules, acessada por /cgi-bin/cstecgi.cgi, e informa que o exploit foi divulgado publicamente. Não há entrada no catálogo KEV nem exploração ativa confirmada, e o registro não indica versão corrigida.

A CVE-2026-9387 é uma falha de injeção de comando na interface de gerenciamento web do firmware Totolink A8000RU 7.1cu.643_b20200521, acessada pela função setUpgradeFW em /cgi-bin/cstecgi.cgi. O registro indica que o argumento resetFlags pode ser manipulado para executar comandos do sistema operacional a partir de acesso remoto. O CNA informa pontuação CVSS 3.1 de 9.8 e menciona exploit publicamente divulgado, mas o CISA KEV não lista a vulnerabilidade.

A biblioteca libbabl 0.1.62, do projeto GEGL, apresenta uma falha na detecção de double free, classificada como CWE-415, que pode permitir a um atacante contornar verificações de segurança de memória. A VulnCheck publica pontuação CVSS 3.1 de 9,8 (Crítica) e CVSS 4.0 de 9,3 para este CVE. O registro não informa versão corrigida e o CVE não consta no catálogo KEV da CISA.

A CVE-2026-4883 afeta o plugin Piotnet Forms para WordPress em todas as versões até e incluindo a 2.1.40. A ausência de validação do tipo de arquivo na função de processamento de formulários permite que usuários não autenticados enviem arquivos arbitrários, o que pode possibilitar execução remota de código, mas somente em sites com campo de arquivo nos formulários. A Wordfence atribui nota 9.8 (Crítica) no CVSS 3.1, e as fontes consultadas não relatam exploração confirmada.

A CVE-2026-9406 é uma fragilidade de injeção de comando do sistema operacional (CWE-77) na interface de gerenciamento web do Totolink A8000RU, versão 7.1cu.643_b20200521. O registro a descreve como explorável remotamente, com pontuação base CVSS 3.1 de 9.8 atribuída pela VulDB, e informa que um exploit foi disponibilizado publicamente. Nenhuma correção do fabricante aparece nas fontes consultadas, por isso dispositivos afetados precisam de endurecimento e isolamento provisórios.

A CVE-2018-25335 descreve uma falha de upload arbitrário de arquivos no plugin WordPress Peugeot Music versão 1.0, classificada pela VulnCheck como crítica, com pontuação CVSS 3.1 de 9.8. Segundo o registro, requisições sem autenticação podem gravar arquivos com extensões arbitrárias no diretório de uploads, onde podem ser executados. O CISA KEV não lista esta CVE e as fontes consultadas não mostram exploração confirmada.

As versões 3.0.0 a 3.3.2 da LibJWT podem aceitar uma chave RSA JWK sem o parâmetro alg como chave de verificação de JWT baseado em HMAC, o que permite a falsificação de tokens no backend OpenSSL. O campo de CNA do GitHub atribui pontuação 9.1 pelo CVSS 4.0, e a correção está disponível na versão 3.3.3. A CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O MCP Calculate Server, um serviço de cálculo baseado no protocolo MCP e na biblioteca SymPy, usa eval() para avaliar expressões matemáticas sem sanitização adequada das entradas em versões anteriores à 0.1.1. O registro classifica a falha como injeção de código que leva à execução remota de código, com pontuação CVSS 3.1 de 9.8 (crítica) fornecida pelo CNA. A correção está na versão 0.1.1, e o registro não indica exploração no ambiente real.

A CVE-2026-39531 é uma falha de SQL injection cega (CWE-89) no plugin WordPress WP Directory Kit, conforme a descrição do CNA Patchstack. O registro atribui pontuação CVSS 3.1 de 9.3 (crítica) e indica que as versões até 1.5.0 são afetadas. Não há exploração confirmada nas fontes consultadas, e o registro não traz versão corrigida.

Uma falha de injeção de código (CWE-94) no jsonpickle 2.0.0 permite a execução de código Python arbitrário ao desserializar JSON não confiável com objetos py/repr. A CNA VulnCheck atribui CVSS 3.1 9.8 (crítico). O registro não informa versão corrigida nem inclusão no catálogo KEV.

O plugin BookingPress Pro para WordPress apresenta falha de upload irrestrito de arquivos (CWE-434) na função de validação do formulário de reserva, em todas as versões até a 5.6 inclusive. A Wordfence classificou a severidade como crítica, com pontuação CVSS 3.1 de 9.8, e o registro indica que a exploração sem autenticação depende de um campo personalizado de assinatura no formulário. A CVE não consta no catálogo KEV da CISA e as fontes consultadas não mostram exploração confirmada.

A CVE-2026-42755 é uma injeção de SQL cega (CWE-89) no plugin TableOn (posts-table-filterable) para WordPress, que afeta versões até 1.0.5.1 segundo o registro. A Patchstack atribuiu pontuação CVSS 3.1 base de 9.3 (crítica). O registro não lista versão corrigida nem inclusão no catálogo KEV da CISA.