Análises

A CVE-2025-49915 é uma falha de injeção de SQL (CWE-89) no plugin WordPress SMS Alert Order Notifications (sms-alert), registrada como afetando versões de n/a até 3.8.5. A pontuação CVSS 3.1 informada pelo CNA é 9.3 (crítica), com vetor de ataque pela rede e sem necessidade de privilégios ou interação do usuário. O registro não indica inclusão no catálogo KEV da CISA nem versão corrigida, por isso administradores devem verificar a versão instalada e consultar o aviso do fornecedor.

A CVE-2026-1595 é uma falha de injeção de SQL no argumento student_id do arquivo /admin/edit_student_query.php do itsourcecode Society Management System 1.0, que, segundo o registro, pode ser explorada remotamente. A NVD atribui pontuação CVSS 3.1 base de 9.8 (Crítica), enquanto as pontuações da CNA VulDB variam de 5.5 a 7.5 conforme a versão do CVSS. O registro informa que existe exploit público, mas a CVE não consta no catálogo KEV da CISA e não há versão corrigida identificada.

A CVE-2024-5986 afeta o h2oai/h2o-3 na versão 3.46.0.1 e, segundo o registro, permite que atacantes remotos gravem dados arbitrários em arquivos do servidor. O registro a associa ao CWE-73 e atribui pontuação base CVSS 3.0 de 9.1 (Crítica), informada pelo CNA security@huntr.dev. Não há exploração confirmada nas fontes consultadas e o registro não lista versão corrigida.

A CVE-2020-37010 descreve um estouro de buffer clássico (CWE-120) no campo de palavras-chave da Pesquisa Avançada do BearShare Lite 5.2.5, que, segundo o registro, pode levar à execução de código arbitrário. O CNA atribuiu pontuação CVSS 3.1 base de 9.8 (crítica), mas o registro não lista faixa de versões afetadas nem versão corrigida. O CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

A biblioteca Maker.js, da Microsoft, usada para modelagem vetorial 2D de desenhos e formas em cortadoras CNC e a laser, apresenta uma falha de poluição de protótipo (CWE-1321) na função extendObject nas versões até a 0.19.1 inclusive. A função copia propriedades sem verificação com hasOwnProperty e sem filtrar chaves perigosas. Há um patch em commit que deve estar presente na versão 0.19.2.

O Orval, ferramenta que gera clientes TypeScript a partir de especificações de API, possui uma correção incompleta para o CVE-2026-23947. Um conjunto limitado de caracteres não alfanuméricos ainda não é escapado, o que, segundo o registro, pode permitir injeção de código. Segundo a descrição do CNA, as versões corrigidas são 7.21.0 e 8.2.0.

A CVE-2020-37050 descreve um estouro de buffer no Quick Player 1.3 que pode ser acionado ao carregar um arquivo .m3l especialmente construído, segundo a descrição do registro. A CNA VulnCheck atribui pontuação CVSS 3.1 de 9,8 (crítica) e o registro associa a falha ao CWE-120. Não há listagem no catálogo KEV da CISA e o registro não traz dados de versões afetadas ou corrigidas.

O Online-Exam-System 2015 contém uma falha de injeção de SQL (CWE-89) no módulo de feedback, acessível pelo parâmetro 'fid'. Segundo o registro, um atacante poderia potencialmente extrair, modificar ou excluir informações do banco de dados. A NVD classifica como crítica (9,8, CVSS 3.1), não há versão corrigida listada e o CVE não consta no catálogo KEV da CISA.

A CVE-2025-51958 é uma falha crítica de injeção de comandos do sistema operacional (CWE-78) no plugin Runcommand da Aelsantex, versão 2014-04-01, para o DokuWiki. Segundo o registro, atacantes não autenticados podem executar comandos arbitrários no sistema, e a CNA atribuiu nota 9,8 pelo CVSS 3.1. Não há versão corrigida nem exploração confirmada nas fontes consultadas, por isso o primeiro passo é identificar instalações expostas.

A CVE-2025-52626 é uma possível fraqueza de injeção de comando no sistema operacional (CWE-78) no HCL AION versão 2.0. O registro indica que ela pode permitir execução de comando não intencional e ações não autorizadas no sistema subjacente. O NVD atribui pontuação 9.8 (Crítica) no CVSS 3.1, enquanto o CNA informa 4.5.

Um use-after-free (CWE-416) no driver Ethernet USB rtl8150 do kernel Linux pode ocorrer quando a rotina de transmissão lê skb->len depois que a requisição USB já foi submetida. A CNA atribui pontuação 9.8 (CVSS 3.1), e o registro lista várias faixas de versões estáveis do kernel como afetadas. As fontes consultadas não mostram exploração confirmada e a vulnerabilidade não consta no KEV da CISA.

A CVE-2020-37000 é um estouro de buffer na pilha no Free MP3 CD Ripper 2.8 que, segundo o registro, pode ser acionado por um arquivo WAV especialmente construído para executar código arbitrário. A CNA VulnCheck atribui pontuação CVSS 3.1 de 9.8 (Crítica), e o registro referencia uma entrada pública de exploit. O registro não informa inclusão no catálogo KEV, dados de EPSS nem versões corrigidas, portanto o status de correção não é confirmado.

A CVE-2026-24729 afeta a função de upload de arquivos do Interinfo DreamMaker em versões anteriores a 2025/10/22, segundo o CNA ART@zuso.ai. A falha é classificada como CWE-434 e recebe pontuação base CVSS 4.0 de 10 do CNA, o que a torna crítica. O registro não informa intervalos de versões afetadas ou corrigidas, e não há exploração confirmada nas fontes consultadas.

A Eclipse OMR port library contém um estouro de buffer clássico (CWE-120) em uma API que retorna os nomes dos recursos de processador suportados quando o buffer de saída fornecido pelo chamador é insuficiente. O NVD classifica a severidade como CVSS 3.1 9.8 (crítica), e o CNA como 6.9 pelo CVSS 4.0. O problema está corrigido no Eclipse OMR 0.8.0, e o registro não indica inclusão no catálogo KEV da CISA.

A CVE-2025-57795 afeta versões do Explorance Blue anteriores à 8.14.13 e é descrita como uma falha de download remoto de arquivos autenticado em um componente de serviço web. A pontuação CVSS 3.1 de 9.9 (crítica) foi atribuída pelo CNA, e a descrição indica que configurações padrão podem ser usadas para alcançar execução remota de código. Nas fontes consultadas não há exploração confirmada, e o registro não mostra inclusão no catálogo KEV.