Análises

A CVE-2025-7016 é uma falha de controle de acesso inadequado (CWE-284) no Akinsoft QR Menu, publicado pela Akın Software. O registro descreve abuso de autenticação e indica que a falha afeta versões anteriores à s1.05.12. A NVD atribui pontuação 9.8 no CVSS 3.1, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-1535 descreve uma injeção de SQL no Online Music Site 1.0 da code-projects, localizada em /Administrator/PHP/AdminReply.php por meio do argumento ID. O NVD classifica a severidade como CVSS 3.1 9.8 (Crítica), e o registro informa que um exploit foi divulgado publicamente. O catálogo KEV da CISA não lista a vulnerabilidade e o registro não informa versão corrigida.

As versões do Plane anteriores à 1.4.0 seguem redirecionamentos HTTP ao entregar webhooks de workspace sem verificar o destino final, o que permite server-side request forgery (SSRF). O registro classifica a severidade como crítica (CVSS 3.1, pontuação 9,9) e informa que a correção está na 1.4.0. Não há inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas.

A CVE-2026-1723 é uma falha de injeção de comando do sistema operacional (CWE-78) no firmware do TOTOLINK X6000R até a versão V9.4.0cu.1498_B20250826. O registro indica pontuação base CVSS 4.0 de 9.2 (crítica), atribuída pela PSIRT da Palo Alto Networks, e a CVE não consta no catálogo KEV da CISA. Como o registro não traz dados estruturados de versões afetadas ou corrigidas, administradores devem confirmar a exposição e as atualizações disponíveis diretamente com o fabricante.

Um estouro de buffer baseado em pilha na interface setIpQosRules do firmware TOTOLINK A950RG V4.1.2cu.5204_B20210112 está ligado à validação insuficiente do tamanho do parâmetro comment. O registro atribui pontuação base CVSS 3.1 de 9.8 (crítica). Nenhuma versão corrigida está listada e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2025-7964 afeta implementações Zigbee em que uma requisição MAC 802.15.4 malformada faz o Zigbee Coordinator enviar uma requisição de network leave ao Zigbee Router. O roteador pode ficar preso em um estado não reingressável, e dispositivos finais podem não conseguir reingressar se não houver um pai adequado disponível. A CNA atribuiu pontuação base CVSS 4.0 de 9.2, e a recuperação descrita exige recomissionamento manual.

Um estouro de buffer no Zortam Mp3 Media Studio 27.60 é descrito como capaz de permitir execução remota de código por meio de um arquivo de texto especialmente preparado, processado na seleção de arquivo para criação de biblioteca. A VulnCheck atribui pontuação 9.8 (crítica) pelo CVSS 3.1, e a CVE não consta no catálogo KEV da CISA. As fontes consultadas não identificam versão corrigida, por isso as prioridades imediatas são inventariar instalações, restringir arquivos não confiáveis e verificar atualizações junto ao fabricante.

Foi relatada uma vulnerabilidade de injeção de SQL no componente add_expenses.php do Society Management System 1.0 da itsourcecode, acessível pelo argumento detail. O registro descreve exploração remota e um exploit divulgado publicamente, mas o CISA KEV não a lista e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro não traz correção oficial do fornecedor.

A CVE-2026-1688 é uma falha de SQL Injection (CWE-89) no argumento Username de /admin/index.php do itsourcecode Directory Management System 1.0, explorável remotamente. A NVD atribui pontuação CVSS 3.1 de 9.8 (Crítica). O registro indica divulgação pública de exploit, mas não há inclusão no catálogo KEV da CISA nem correção do fornecedor identificada.

A CVE-2025-67856 é uma falha de autorização incorreta no processo de concessão de insígnias do Moodle, na qual verificações de função incompletas permitem conceder insígnias sem verificação adequada. O NVD a classifica como Crítica, com pontuação CVSS 3.1 de 9.8. Ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-24054 afeta o Kata Containers em versões anteriores à 3.26.0. Quando uma imagem de contêiner está malformada ou não possui camadas, o containerd pode montar por bind um diretório vazio do snapshotter como rootfs, o que pode levar o runtime Kata a tratá-lo como dispositivo de bloco e conectá-lo ao convidado via hotplug. A correção está na versão 3.26.0, e o NVD classifica a severidade como crítica (CVSS 3.1, pontuação 10).

As versões do NocoDB anteriores à 0.301.0 contêm um problema de cross-site scripting armazenado no tratamento de anexos, em que arquivos SVG enviados por usuários autenticados podem executar JavaScript nos navegadores de outros usuários. O registro classifica a falha como crítica, com pontuação CVSS 3.1 igual a 9 pela NVD e CVSS 4.0 igual a 8,5 pelo GitHub, e informa que a versão 0.301.0 corrige o problema. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.

A CVE-2026-52993 é um double-free (CWE-415) no código de rede TIPC do kernel Linux, na função tipc_buf_append(). O CNA atribui pontuação 9.8 (CVSS 3.1) e o registro também traz a pontuação 7.0 de outro provedor. O registro lista faixas de versões afetadas e correções em kernels estáveis, e não consta no catálogo KEV da CISA.

Foi relatada uma falha de injeção de SQL no argumento txtsearch do arquivo /ramonsys/inquiry/index.php no itsourcecode School Management System 1.0. O escore base do NVD é 9.8 (CVSS 3.1) e o registro indica que o ataque pode ser feito remotamente e que existe exploit público. Nas fontes consultadas não há exploração confirmada na natureza, e o registro não identifica versão corrigida.

Uma fraqueza na validação de hostname do componente FinalDestination do Discourse pode permitir contornar proteções contra SSRF em determinadas condições, segundo o registro analisado. O NVD classifica a falha como crítica, com CVSS 3.1 de 9.9, e o registro indica as versões corrigidas 3.5.4, 2025.11.2, 2025.12.1 e 2026.1.0, sem soluções alternativas conhecidas. Recomenda-se atualizar para uma versão corrigida; nenhuma exploração confirmada aparece nas fontes consultadas.