Análises

O RIOT, um sistema operacional open-source para microcontroladores IoT e embarcados, apresenta múltiplas falhas de leitura fora dos limites em sua pilha 6LoWPAN nas versões 2025.10 e anteriores. Um usuário não autenticado capaz de enviar pacotes pode ler posições de memória adjacentes ou derrubar um dispositivo vulnerável. No momento da publicação não havia patch conhecido, e o registro não indica este CVE no catálogo CISA KEV.

Uma falha crítica de injeção de comando do sistema operacional (CWE-78) na ação ping do Plugin Ping do Rapid7 InsightConnect, em Linux, permite que atacantes remotos executem comandos arbitrários por meio do parâmetro host. A NVD atribui pontuação 9,8 (CVSS 3.1), enquanto a CNA Rapid7 atribui 7,7. O registro indica versões abaixo de 1.0.4 como afetadas, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-25505 afeta versões do Bambuddy anteriores à 0.1.7, um sistema self-hosted de arquivo de impressões para impressoras 3D Bambu Lab. O registro descreve uma chave secreta codificada no código, usada para assinar JWTs, e rotas de API que não verificam autenticação, com pontuação CVSS 3.1 base de 9.8 atribuída pelo CNA. A correção está disponível na versão 0.1.7, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-39955 é uma falha crítica de injeção de SQL no Cacti nas versões 1.2.30 e anteriores, acessível antes da autenticação por meio de uma validação FILTER_VALIDATE_REGEXP sem âncoras em graph_view.php. O fabricante corrigiu o problema na versão 1.2.31, e o registro informa pontuação base CVSS 3.1 de 9.8. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-25236 afeta o componente Pearweb do sistema de framework e distribuição de componentes PHP PEAR. Antes da versão 1.33.0, as consultas de karma realizam substituição literal insegura em uma lista IN (...), o que cria risco de injeção de SQL. O problema é descrito como corrigido na versão 1.33.0, e nenhuma exploração confirmada aparece nas fontes consultadas.

O CVE-2026-53221 é uma falha no driver ip6_vti do kernel Linux, em que a busca de fallback em vti6_tnl_lookup() não confirma se um túnel candidato realmente usa endereço curinga. O CNA classifica como crítica, com pontuação base CVSS 3.1 de 9.8, e o registro lista commits de correção nas branches estáveis. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

As versões do PEAR Pearweb anteriores à 1.33.0 contêm uma falha de injeção de SQL na exclusão de inscrições em bugs, que pode ser acionada por um valor de e-mail elaborado. O NVD atribui pontuação 9,8 (crítica) pelo CVSS 3.1, e o registro informa que a correção está na versão 1.33.0. O registro não mostra inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.

A CVE-2026-53228 é uma falha crítica no caminho de túnel SIT do kernel Linux para IPv6 sobre IPv4, com pontuação 9.8 atribuída pelo CNA no CVSS 3.1. A função de transmissão continua usando um ponteiro para o cabeçalho IPv6 interno após um auxiliar que pode mover o início do pacote, o que pode levar a leituras de memória já liberada. Correções em versões estáveis do kernel são citadas no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

A CVE-2020-37110 descreve uma falha de injeção de SQL no 60CycleCMS 2.5.2, presente em news.php e common/lib.php, em que entradas não validadas podem alterar consultas ao banco de dados. O registro da NVD classifica a severidade como crítica, com pontuação base CVSS 3.1 de 9,8, e a VulnCheck informa 8,8 no CVSS 4.0. Nas fontes consultadas não há exploração confirmada, e o catálogo KEV da CISA não lista esta CVE.

O SunFounder Pironman Dashboard (pm_dashboard) na versão 1.3.13 e anteriores contém uma falha de path traversal nos endpoints da API de arquivos de log, que permite a atacantes remotos não autenticados ler e excluir arquivos arbitrários. A VulnCheck atribui pontuação 9.3 pelo CVSS 4.0. O registro não indica inclusão no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2025-15030 afeta o plugin User Profile Builder para WordPress em versões anteriores à 3.15.2. O processo de redefinição de senha do plugin é inadequado, permitindo que um atacante não autenticado que conheça um nome de usuário redefina a senha desse usuário, inclusive de contas de administrador. O escore CVSS 3.1 informado no registro é 9.8 (crítico), e não há exploração confirmada nas fontes consultadas.

A CVE-2026-24857 é um estouro de buffer em heap no código unrar embutido no Simsong bulk_extractor, a partir da versão 1.4. Um arquivo RAR malformado dentro de uma imagem de disco pode causar uma escrita fora dos limites, e o registro aponta potencial para execução remota de código. O registro indica que não havia correção conhecida na publicação, e nenhuma exploração confirmada aparece nas fontes consultadas.

O Ajenti 2.1.36 está associado a uma falha de injeção de comando do sistema operacional pós-autenticação (CWE-78), que pode permitir que um usuário autenticado execute comandos arbitrários no host. O registro informa pontuação CVSS 3.1 base de 9,8 (crítica) e CVSS 4.0 de 8,7, ambas fornecidas pela VulnCheck. A CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

Um registro público de CVE descreve uma falha de injeção de SQL (CWE-89) no jshERP da Jishenghua até a versão 3.6, acionada pelo argumento barCodes de uma função de importação de itens em Excel. O registro informa que o exploit foi divulgado publicamente e que o problema pode ser explorado remotamente, e a NVD atribui nota 9.8 (crítica). Nenhuma versão corrigida está listada e o projeto não havia respondido no momento do registro.

A CVE-2026-22806 afeta a vCluster Platform e permite que uma chave de acesso com escopo limitado alcance recursos fora do escopo definido, classificada como Autorização Incorreta (CWE-863). A descrição informa que o acesso continua restrito ao que o proprietário da chave pode alcançar e indica as versões corrigidas de cada ramo mantido. A atualização é a principal medida de correção, enquanto revisões de escopo e usuários de automação com permissões limitadas são medidas provisórias.