Análises

As versões do NLTK anteriores à 3.10.3 contêm uma falha de execução remota de código em carregadores de pickle incluídos em lista de permissão, que confiam em namespaces de módulos inteiros em vez de callables seguros específicos. O registro classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8, e a enquadra como CWE-502. A vulnerabilidade não consta no catálogo KEV da CISA, e nenhuma exploração confirmada no mundo real aparece nas fontes consultadas.

As versões 2.0.0 até 3.0.8 do ProxySQL aceitam um cabeçalho PROXY forjado no frontend MySQL e usam o endereço de origem falsificado em decisões de roteamento e ACL. Com a configuração padrão de redes, qualquer peer que alcance a porta do frontend pode se apresentar com um IP de cliente escolhido. O registro indica a versão 3.0.9 como a release corrigida.

A CVE-2026-52931 é uma falha crítica no componente tp_meter do batman-adv no kernel Linux, em que rotinas de tratamento de ACK e de parada podem ler dados exclusivos do remetente enquanto o nó atua como receptor. O registro atribui pontuação CVSS 3.1 de 9.8, com vetor de rede e sem necessidade de privilégios ou interação do usuário. A correção upstream inclui uma verificação de papel que descarta estados que não sejam de remetente antes de esses dados serem acessados, e nenhuma exploração confirmada aparece nas fontes consultadas.

Uma falha de use-after-free na pilha SCTP do kernel Linux pode ocorrer quando um erro Stale Cookie reverte uma associação para COOKIE_WAIT enquanto dados enfileirados ainda referenciam o estado antigo de streams. O registro atribui pontuação CVSS 3.1 de 9.8 pelo CNA e lista oito commits de correção upstream. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-48491 afeta o Traefik nas versões 3.7.0 até 3.7.3, em que a proteção SNICheck contra domain fronting não aplica opções TLS com wildcard ao cabeçalho Host HTTP. Segundo o registro, um cliente não autenticado pode alcançar um backend protegido por wildcard sem apresentar certificado de cliente. O problema está corrigido na versão 3.7.3, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-54307 é uma falha de autorização incorreta (CWE-863) na plataforma de automação de workflows n8n. Um usuário de nível membro com acesso de Editor a um workflow compartilhado podia referenciar credenciais que não lhe pertencem por meio de determinados endpoints da API pública, pois as verificações de propriedade eram aplicadas apenas parcialmente. O aviso indica as versões corrigidas 1.123.55, 2.25.7 e 2.26.2, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-11373 afeta o Net::Statsite::Client para Perl até a versão 1.1.0, um cliente do protocolo statsite. Quebras de linha não são removidas dos nomes de métricas e os valores não são sanitizados contra quebras de linha, dois-pontos ou barras verticais, o que permite injeção de métricas. O registro indica severidade crítica (CVSS 3.1, pontuação 9.1), e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-22264 afeta o Suricata, um mecanismo open source de IDS, IPS e NSM de rede. Um estouro de inteiro sem sinal pode levar a um use-after-free no heap quando um único pacote gera uma quantidade excessiva de alertas, e as versões 7.0.14 e 8.0.3 incluem a correção. Não há exploração confirmada nas fontes consultadas.

A CVE-2021-3711 é um estouro de buffer no código de decriptação SM2 do OpenSSL. O tamanho do buffer calculado na primeira chamada a EVP_PKEY_decrypt() pode ser menor do que o exigido pela segunda chamada, o que pode permitir que dados escolhidos por um atacante ultrapassem o buffer em até 62 bytes. O registro da NVD atribui pontuação CVSS 3.1 de 9.8 (crítica), e a correção está no OpenSSL 1.1.1l. A vulnerabilidade não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

O Suricata, um motor de IDS, IPS e NSM de rede, é afetado pela CVE-2026-22262, um estouro de pilha no código que salva datasets quando os dados são muito grandes. O registro indica como afetadas as versões anteriores à 7.0.14 e as versões a partir da 8.0.0 até antes da 8.0.3. As versões corrigidas são a 8.0.3 e a 7.0.14, e uma solução alternativa é evitar regras que usem as opções save ou state de datasets.

O registro descreve uma falha de injeção de SQL no parâmetro Password de /ExLogin.php no Mobile Shop Management System 1.0 da code-projects, classificada como CWE-89 e com pontuação 9.8 (crítica) no CVSS 3.1. O registro não indica inclusão no catálogo KEV e não há exploração confirmada na natureza nas fontes consultadas. O nome do produto na lista de afetados difere do nome do fornecedor na descrição, o que deve ser verificado.

Foi relatada uma falha de injeção de SQL no PHPGurukul Beauty Parlour Management System versão 1.1, no arquivo /admin/invoices.php, por meio do argumento delid. O registro indica que a falha é explorável remotamente e que um exploit foi divulgado publicamente. A NVD lista pontuação CVSS 3.1 de 9,8 (crítica), e não há exploração confirmada no campo de atividade real nas fontes consultadas.

A CVE-2026-24785 afeta o Clatter, implementação em Rust do framework de protocolos Noise com suporte a pós-quântico, em versões anteriores à 2.2.0. A biblioteca aceitava padrões de handshake pós-quânticos que violam a regra de validade de PSK, o que pode levar ao uso de chaves derivadas de PSK na cifragem sem aleatoriedade efêmera adequada. A correção está na v2.2.0, que inclui verificações em tempo de execução, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-56237 afeta o Capgo em versões anteriores à 12.128.2 e envolve autenticação quebrada no mecanismo de geração de chaves de API. O backend não verifica se as chaves são geradas com segurança e vinculadas ao usuário autenticado. A VulnCheck atribui pontuação CVSS 3.1 de 9.1 (crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.

As versões do Grav anteriores à 2.0.14 não protegem o campo de acesso do blueprint de grupo core com a restrição de super-admin exigida. Segundo o registro, um usuário delegado com permissão admin.users pode salvar um grupo com acesso elevado e se tornar super-admin, o que também concede capacidades de scheduler e de avaliação Twig. Não há exploração ativa confirmada nas fontes consultadas.