Análises

A CVE-2022-50981 é uma falha crítica de falta de autenticação (CWE-306) em dispositivos entregues sem senha por padrão, e o registro indica que a definição de uma senha não é imposta. Segundo o registro, um atacante remoto não autenticado poderia obter acesso total aos dispositivos afetados. O CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não informa versões afetadas ou corrigidas.

A CVE-2025-7013 descreve um bypass de autorização no Menu Panel da QR Menu Pro Smart Menu Systems, classificado como CWE-639 (bypass de autorização por chave controlada pelo usuário). O registro indica que identificadores tratados como confiáveis podem ser abusados. A NVD atribui nota 9.8 (crítica) pelo CVSS 3.1, enquanto o CNA USOM registra 5.7.

A CVE-2019-25232 é um estouro de buffer no campo DNS/IP do painel de controle de clientes do NetPCLinker 1.0.0.0, conforme descrito no registro. O NVD e o CNA informam pontuação CVSS 3.1 de 9,8 (crítica), e o registro não inclui versões corrigidas. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

Versões do Rapid7 InsightVM anteriores à 8.34.0 aparentemente não verificam a assinatura de asserções recebidas no endpoint em nuvem do Assertion Consumer Service (ACS), o que, segundo o registro, poderia permitir a tomada de contas configuradas em instalações do Security Console. O CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9.6. A descrição indica que o problema foi corrigido na versão 8.34.0, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2020-37056 afeta o shard http-protection 0.2.0 para Crystal, em que cabeçalhos de requisição manipulados podem fazer o middleware de proteção aceitar um IP de cliente falsificado. A VulnCheck informa pontuação base CVSS 3.1 de 9.8 (crítica) e classifica a falha como CWE-290. O registro não indica inclusão no catálogo KEV nem versão corrigida confirmada, por isso administradores devem revisar o uso de cabeçalhos de IP encaminhado.

A CVE-2026-23997 é uma vulnerabilidade de XSS armazenado no FacturaScripts, nas versões 2025.71 e anteriores, em que dados do campo Observações são exibidos sem codificação adequada na visualização de histórico. A NVD atribui pontuação 9 (CVSS 3.1, crítica) e o GitHub pontuação 8. Não há exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida.

Versões do Explorance Blue anteriores à 8.14.9 apresentam uma falha de injeção de SQL (CWE-89) causada por validação insuficiente de entrada em um endpoint de aplicação web. O registro indica que a falha pode ser explorada sem autenticação e é classificada como crítica, com pontuação CVSS 3.1 base de 10.0. Nas fontes consultadas não há exploração confirmada, e o registro não mostra a vulnerabilidade no catálogo KEV da CISA.

Uma falha de injeção de SQL (CWE-89) no code-projects Online Music Site 1.0 afeta uma função não identificada em /Administrator/PHP/AdminAddCategory.php e pode ser explorada remotamente. A NVD classifica como crítica, com 9,8 no CVSS 3.1, e o registro indica que um exploit foi divulgado publicamente. Não há versão corrigida listada e o CVE não consta no catálogo CISA KEV.

O Content Management System Globalmedya, da Global Interactive Design Media Software Inc., apresenta uma falha de injeção de SQL (CWE-89) que, segundo o registro, permite execução de linha de comando. A NVD atribui pontuação 9.8 (crítica) e a CNA USOM atribui 7.5, e o registro cita versões até 2025-07-21. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.

Uma falha crítica de injeção de SQL (CWE-89) afeta o componente tablon da plataforma Buroweb, versão 2505.0.12, segundo o registro do CNA. Vários parâmetros não higienizam corretamente a entrada do usuário, o que poderia permitir a um atacante executar consultas no banco de dados e acessar informações confidenciais. O registro informa pontuação CVSS 4.0 de 9.3 e não há exploração confirmada nas fontes consultadas.

O BacklinkSpeed 2.4 é afetado por um estouro de buffer que pode corromper a cadeia do Structured Exception Handler quando um arquivo elaborado é importado. O registro descreve a possibilidade de execução de código arbitrário e de controle da aplicação. O registro informa pontuação base CVSS 3.1 de 9.8 e não há inclusão no catálogo KEV da CISA; nenhuma exploração confirmada aparece nas fontes consultadas.

O framework CAI (Cybersecurity AI), nas versões até e incluindo a 0.5.10, repassa entrada controlada pelo usuário a comandos de shell por meio de suas function tools, o que o registro descreve como injeção de comando no sistema operacional. Segundo o registro, a ferramenta find_file é executada sem aprovação do usuário, o que poderia permitir que um atacante execute comandos arbitrários no host e contorne controles com humano no circuito. Um commit de correção é referenciado, mas o registro não informa o número de uma versão corrigida.

O boletim de segurança da MediaTek de fevereiro de 2026 trata da CVE-2026-20418, uma escrita fora de limites (CWE-787) causada por uma verificação de limites ausente no componente Thread. O CNA atribui nota 9,8 (Crítica) no CVSS 3.1 e indica possível escalonamento remoto de privilégios sem interação do usuário. O registro não lista versão corrigida e a CVE não consta no catálogo KEV da CISA.

Versões do SandboxJS anteriores à 0.8.27 não restringem adequadamente o __lookupGetter__, que, segundo o registro, pode ser usado para obter protótipos e permitir escape do sandbox e possível execução remota de código. O provedor GitHub classifica a falha como crítica, com pontuação CVSS 3.1 base igual a 10. O registro identifica a versão 0.8.27 como corrigida e não informa exploração ativa confirmada.

Versões do Interinfo DreamMaker anteriores a 2025/10/22 expõem funcionalidade administrativa pelo endpoint /servlet/baServer3 sem exigir autenticação, conforme registrado na CVE-2026-24728 (CWE-306). O CNA ART@zuso.ai atribuiu pontuação base CVSS 4.0 de 9.3. O registro não lista produtos afetados nem versões corrigidas, por isso as organizações devem verificar sua exposição no aviso do fornecedor.