Análises

Segundo a descrição, o Tea LaTeX 1.0 apresenta uma falha de injeção de comando no sistema operacional acessível sem autenticação pelo /api.php, classificada como crítica com CVSS 3.1 de 9,8. A falha está associada à ação de API tex2png. O registro não informa versão corrigida nem exploração confirmada.

A CVE-2025-67484 é uma falha de validação imprópria de entrada no MediaWiki, associada ao arquivo includes/Api/ApiFormatXml.Php. O NVD atribui pontuação 9,8 (crítica) no CVSS 3.1, e a descrição indica como versões corrigidas as 1.39.16, 1.43.6, 1.44.3 e 1.45.1. Nas fontes consultadas não há exploração confirmada.

A CVE-2026-24471 afeta o continuwuity, um homeserver Matrix escrito em Rust, e servidores derivados do Conduit. Um servidor remoto malicioso pode levar o servidor local a assinar um evento arbitrário durante ações de sair, entrar ou solicitar entrada em uma sala, disparadas pelo usuário. O CNA do GitHub classifica a falha como crítica, com pontuação CVSS 4.0 de 9.3, e há correções indicadas para continuwuity, Conduit, Grapevine e Tuwunel.

A CVE-2025-8587 é uma falha de SQL Injection (CWE-89) no SKSPro, produto da AKCE Software Technology R&D Industry and Trade Inc., descrita como afetando versões até 07012026. A NVD atribui pontuação 9.8 (CVSS 3.1, crítica), enquanto o CNA USOM informa 8.6. Nas fontes consultadas não há inclusão no KEV nem exploração confirmada, e o registro não lista versão corrigida.

O CVE-2026-1740 descreve uma falha de autenticação inadequada (CWE-287) no firmware EFM ipTIME A8004T versão 14.18.2, localizada na função de verificação de sessão de /cgi/timepro.cgi. O NVD classifica como Crítica, com pontuação CVSS 3.1 de 9.8, e o registro informa que o exploit foi tornado público. O catálogo KEV da CISA não o inclui, o fabricante não respondeu à divulgação inicial e nenhuma correção é listada.

A CVE-2026-52989 afeta o alvo nvmet-tcp (NVMe sobre TCP) do kernel Linux. Quando o tamanho ou o deslocamento de um PDU está fora dos limites, o erro não é informado aos chamadores, que podem seguir com um iterador não inicializado. O registro traz pontuação CVSS 3.1 de 9.8 atribuída pelo CNA e lista correções em ramos estáveis.

A CVE-2026-1453 afeta a série KiloView Encoder e é classificada como ausência de autenticação em função crítica (CWE-306). Segundo o registro, um atacante não autenticado poderia criar ou excluir contas de administrador, o que pode conceder controle administrativo total sobre o produto. O CNA (ICS-CERT) classificou a severidade como crítica, com pontuação CVSS 3.1 de 9.8.

A CVE-2025-57529 é uma falha crítica de injeção de SQL (CWE-89) no YouDataSum CPAS Audit Management System, que afeta versões até a 4.9 inclusive segundo o registro. A pontuação base CVSS 3.1 é 9,8, e o registro descreve a possibilidade de acesso remoto sem autenticação com acesso não autorizado a dados. Não há exploração confirmada na natureza nas fontes consultadas, mas há duas referências de repositório marcadas como relacionadas a exploit, por isso implantações afetadas devem ser priorizadas.

A CVE-2026-24772 afeta o OpenProject a partir da versão 17.0.0 até antes da 17.0.2 e está ligada ao servidor de sincronização usado na colaboração em tempo real em documentos. O servidor não valida adequadamente a URL do backend que recebe, podendo enviar um token de autenticação descriptografado a um endpoint não previsto. A correção está disponível na 17.0.2, e desabilitar o recurso de colaboração é o contorno documentado.

A Splunk corrigiu várias vulnerabilidades identificadas internamente no Splunk Enterprise, agrupadas sob o identificador único CVE-2026-76284 pela classe de fraqueza CWE-707. O registro atribui pontuação CVSS 3.1 de 9,8 pela CNA e pelo CISA-ADP e indica correções nas versões 10.4.3, 10.2.7, 10.0.10 e 9.4.15. Nas fontes consultadas não há exploração confirmada.

A CVE-2025-65875 é uma falha de upload arbitrário de arquivo na função AddFont() do FPDF v1.86 e anteriores, classificada como CWE-434. Segundo a descrição do NVD, um atacante pode executar código arbitrário ao enviar um arquivo PHP especialmente elaborado. O NVD atribui nota 9.8 (Crítica) no CVSS v3.1, enquanto o registro do CNA da MITRE indica 8.8, e o registro não traz nenhuma versão corrigida.

A CVE-2026-52958 é uma falha no componente libceph do kernel Linux. A verificação de tamanho em osdmap_decode() reserva espaço para apenas uma entrada de osd_weight, embora osd_state e osd_weight sejam decodificados para cada OSD, o que pode causar leitura fora dos limites com uma mensagem osdmap corrompida. A CNA atribui pontuação 9.1 (crítica) no CVSS 3.1, e o registro lista commits de correção para vários ramos estáveis.

A CVE-2025-67186 é um estouro de buffer na interface setUrlFilterRules do módulo firewall.so do firmware TOTOLINK A950RG V4.1.2cu.5204_B20210112. O registro descreve a ausência de validação de tamanho do parâmetro url, e a pontuação base CVSS 3.1 da NVD é 9,8 (crítica). Não há exploração confirmada nas fontes consultadas, e o registro não lista versão corrigida.

A CVE-2026-1547 é uma falha de injeção de comando (CWE-77) relatada no firmware Totolink A7000R versão 4.1cu.4154, na função setUnloadUserData do arquivo /cgi-bin/cstecgi.cgi. A NVD atribui pontuação base CVSS 3.1 de 9.8 (crítica), e o registro indica que o ataque pode ser feito remotamente e que existe exploit público. Não há versão corrigida listada nas fontes consultadas e a CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas.

A CVE-2025-66480 é uma falha crítica de path traversal no componente im-server do Wildfire IM, que afeta versões anteriores à 1.4.3. O endpoint de upload de arquivos não remove sequências de travessia de diretório dos nomes de arquivo enviados pelo usuário, o que pode permitir gravação arbitrária de arquivos no servidor. O fabricante corrigiu o problema na versão 1.4.3, e o registro informa pontuação CVSS 3.1 base de 9.8.