Análises

Versões do Plane anteriores à 1.4.0 trazem valores padrão fixos e publicamente conhecidos de SECRET_KEY e LIVE_SERVER_SECRET_KEY nos manifestos de implantação aio e cli community, que permanecem ativos quando o operador não os substitui. O registro informa pontuação CVSS 3.1 de 9,8 (crítica). Segundo o registro, o problema está corrigido na 1.4.0, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2020-37027 é uma falha crítica de injeção de comando no sistema operacional (CWE-78) no Sickbeard alpha, que, segundo o registro, pode ser explorada remotamente por atacantes não autenticados pela configuração extra scripts. A VulnCheck atribui pontuação 9.8 pelo CVSS 3.1 e 9.3 pelo CVSS 4.0. O registro não lista entrada no catálogo KEV, faixas de versões afetadas nem versão corrigida, portanto a prioridade defensiva é isolar ou remover instalações expostas.

A CVE-2026-20407 é uma falha no driver WLAN STA da MediaTek causada por verificação de limites ausente, classificada como CWE-787 (escrita fora dos limites). A descrição indica escalonamento local de privilégios com execução em nível de usuário e sem interação do usuário, e a NVD registra pontuação CVSS 3.1 base de 9,3 (crítica). O registro não informa versão corrigida nem exploração confirmada, por isso convém verificar o boletim de fevereiro de 2026 da MediaTek para as builds em uso.

A CVE-2025-49380 é uma falha crítica de desserialização de dados não confiáveis (CWE-502) no plugin WooCommerce Vehicle Parts Finder, da wpinstinct, que permite injeção de objeto. A CNA atribuiu nota 9.8 pelo CVSS 3.1, e a descrição abrange versões de n/a até 3.7. O registro não indica inclusão no catálogo KEV nem versão corrigida, então os administradores devem verificar o status do plugin e reduzir a exposição.

A CVE-2026-1590 é uma falha de injeção de SQL no School Management System da itsourcecode, versão 1.0, acionada pela manipulação do argumento ID em uma página do módulo de professores. A NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica), e o CNA VulDB publica outras pontuações em diferentes versões do CVSS. O registro informa que há exploit público, mas a falha não consta no catálogo KEV da CISA e não há indício de exploração ativa confirmada nas fontes consultadas.

A CVE-2025-57794 afeta versões do Explorance Blue anteriores à 8.14.9. Um usuário autenticado na interface administrativa pode enviar arquivos de tipos perigosos, pois a aplicação não restringe adequadamente os tipos aceitos, e o registro indica que isso possibilita execução remota de código em configurações padrão. O registro classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.1.

A CVE-2025-63624 é uma falha de injeção de SQL na plataforma de monitoramento de hidrômetros inteligentes IoT da Shandong Kede Electronics Co., Ltd, versão 1.0, acessível pelo arquivo imei_list.aspx. O registro descreve a possibilidade de execução remota de código arbitrário e atribui pontuação CVSS 3.1 base de 9,8. Não há versão corrigida nem inclusão no catálogo KEV da CISA no registro, por isso a prioridade é restringir o acesso e acompanhar o fornecedor.

A CVE-2025-7015 é uma fragilidade de session fixation (CWE-384) no Akinsoft QR Menu, que afeta versões anteriores à s1.05.12. A NVD classifica como crítica, com 9,8, enquanto a CNA USOM atribui 5,7 pelo CVSS 3.1. O registro não indica inclusão no KEV nem exploração confirmada nas fontes consultadas.

Foi relatada uma falha de injeção de SQL no projeto Online Music Site 1.0, da code-projects, no arquivo AdminEditUser.php, por meio do argumento ID. O registro indica que o ataque pode ser iniciado remotamente e que há exploit disponível ao público; a NVD atribui pontuação 9.8 (CVSS 3.1, crítica). O CVE não consta no catálogo KEV da CISA no registro, e as fontes consultadas não mostram exploração confirmada no campo.

A CVE-2025-61506 afeta o MediaCrush até a versão 1.0.1 e permite que atacantes remotos, sem autenticação, enviem arquivos arbitrários de qualquer tamanho pelo endpoint /upload. O registro associa a falha ao CWE-434 e atribui pontuação CVSS 3.1 de 9,8 (Crítica). Não há inclusão no catálogo KEV, valor EPSS nem versão corrigida no registro analisado.

A CVE-2026-1593 é uma falha de injeção de SQL no arquivo administrativo /admin/edit_expenses_query.php do Society Management System 1.0 da itsourcecode, acionada pelo argumento detail. A NVD atribuiu pontuação crítica de 9.8 (CVSS 3.1), enquanto a CNA VulDB atribuiu 7.3 na mesma versão do CVSS. O registro indica que existe exploit público, mas o catálogo KEV da CISA não lista a falha e não há exploração confirmada nas fontes consultadas.

A Johnson Controls divulgou uma fraqueza crítica de injeção de comando (CWE-77) que afeta vários componentes Metasys e ferramentas de configuração relacionadas, quando o SQL Express está implantado como parte da instalação. O registro indica que a exploração bem-sucedida poderia permitir a execução remota de SQL. As fontes consultadas não mostram exploração confirmada, e o registro não informa versões corrigidas.

O AirControl 1.4.2 teria uma falha que permite execução remota de comandos sem autenticação por meio de injeção de expressões Java no endpoint /.seam. O registro indica CVSS 3.1 de 9.8 (crítico), mas não traz versões afetadas, versões corrigidas nem exploração confirmada. Recomenda-se restringir o acesso à interface de gerenciamento e verificar atualizações do fornecedor.

O ASUSTOR Data Master (ADM) contém uma falha de validação inadequada de entrada em um programa CGI, acessível quando uma função específica está habilitada durante a ingressão em um domínio AD. O registro indica que um atacante remoto não autenticado poderia escrever dados arbitrários em qualquer arquivo, e a NVD classifica o problema com 9.8 (Crítico) no CVSS 3.1. Não há exploração confirmada nas fontes consultadas, e o registro não lista uma versão corrigida.

A CVE-2025-69602 é uma falha de fixação de sessão no 66biolinks versão 62.0.0, da AltumCode, em que o identificador de sessão não é regenerado após a autenticação bem-sucedida. O registro no NVD classifica a falha como crítica, com CVSS 3.1 de 9.1, e a associa à CWE-384. Não há exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida.