Análises

A CVE-2026-74878 afeta versões do openssl_encrypt anteriores à 1.4.0, nas quais a proteção contra força bruta de TOTP usa um limitador de taxa em memória. Esse limitador não é compartilhado entre workers e é perdido em reinicializações do servidor, o que permite contornar a proteção. A VulnCheck atribui CVSS 3.1 9.8 (Crítico), e o registro não informa exploração confirmada.

Uma falha de injeção de SQL (CWE-89) no arquivo reset.php do itsourcecode Leave Management System 1.0 permite que um agente remoto manipule o argumento employid. A NVD classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8, enquanto outras pontuações da VulDB e da CNA são menores. O registro não traz versão corrigida e descreve o exploit como publicamente disponível.

A CVE-2025-40552 é um desvio de autenticação crítico no SolarWinds Web Help Desk. Segundo o registro, um agente malicioso poderia acessar ações e métodos que deveriam ser protegidos por autenticação. A pontuação CVSS 3.1 de 9.8 é atribuída ao CNA, e a faixa afetada indicada são versões anteriores à 2026.1. O registro não mostra inclusão no catálogo KEV e não há exploração confirmada nas fontes consultadas.

As versões do openssl_encrypt da Jahlives anteriores à 1.4.0 são descritas como configuradoras de CORS com origem permitida curinga e credenciais habilitadas. Segundo o registro, isso pode permitir que sites maliciosos façam requisições autenticadas entre origens à API em nome de usuários que os visitarem. A NVD classifica como crítica, com 9.3 no CVSS 3.1, e o registro indica que não consta no catálogo KEV da CISA.

A CVE-2026-24874 é uma falha de confusão de tipo (CWE-843) no projeto xray-monolith, da themrdemonized, que afeta versões anteriores a 2025.12.30. NVD e CNA atribuem pontuação CVSS 3.1 de 9.1 (crítica), com vetor de rede, baixa complexidade e sem necessidade de privilégios ou interação do usuário. Não há inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas, e a correção indicada é o pull request referenciado no registro.

A CVE-2025-69559 descreve uma falha de upload de arquivo (CWE-434) em admin_add.php do code-projects Computer Book Store 1.0, com pontuação 9.8 (Crítica) no CVSS 3.1 registrado. O registro não informa versão corrigida e o CVE não consta no CISA KEV. Equipes devem restringir o acesso às funções administrativas e validar uploads até que haja correção oficial.

A CVE-2025-61140 descreve uma fraqueza de Prototype Pollution (CWE-1321) na função value do arquivo lib/index.js da biblioteca jsonpath na versão 1.1.1. O registro no NVD traz pontuação base CVSS 3.1 de 9,8 e severidade crítica. Não há exploração confirmada nas fontes consultadas, e o registro não indica nenhuma versão corrigida.

A CVE-2026-24770 é uma vulnerabilidade crítica de Zip Slip (CWE-22), um path traversal no parser MinerU do Infiniflow RAGFlow, que afeta a versão 0.23.1 e possivelmente versões anteriores. Segundo o registro, um arquivo ZIP malicioso pode sobrescrever arquivos arbitrários no servidor e potencialmente levar à execução remota de código. Há um patch referenciado no commit 64c75d558e4a17a4a48953b4c201526431d8338f, e o CISA KEV não lista esta CVE.

A CVE-2026-52914 afeta o módulo batman-adv do kernel Linux, no qual o tamanho acumulado da carga útil de fragmentos enfileirados pode ser truncado durante atualizações. Segundo o registro, isso pode permitir que cadeias de fragmentos malformadas contornem a validação e causem negação de serviço local, e o registro atribui pontuação CVSS 3.1 de 9,8 com CWE-787. Não há exploração confirmada nas fontes consultadas, e os commits de versões estáveis do kernel listados no registro são o principal caminho de correção.

Um estouro de buffer no componente /dbsrv.asp do D-Link DI-7001 MINI 24.04.18B1 é registrado como acionável remotamente, com pontuação base CVSS 3.1 de 9,8 segundo a NVD. O registro informa que um exploit foi divulgado publicamente, mas a vulnerabilidade não consta no catálogo KEV da CISA. Nenhuma versão corrigida aparece nos dados consultados, por isso a exposição deve ser restringida e o fornecedor deve ser consultado.

Uma falha de injeção de SQL no argumento Username de /admin/login.php do Campcodes Advanced Online Voting Management System 1.0 pode ser acionada remotamente. A NVD classifica como crítica, com nota 9,8 no CVSS 3.1, enquanto as pontuações da VulDB no registro variam. O exploit foi divulgado publicamente, mas o registro não mostra inclusão no catálogo KEV nem exploração confirmada no mundo real.

A CVE-2026-105278 afeta a imagem Docker publicada do openPDC, da Grid Protection Alliance, que traz uma credencial administrativa fixa sem exigência de troca no primeiro uso. O registro classifica a severidade como crítica (CVSS 3.1 9.8) e a fraqueza como CWE-798 (uso de credenciais codificadas no código). Nas fontes consultadas não há exploração confirmada, e o registro não informa uma versão corrigida específica.

A CVE-2020-36961 descreve um estouro de buffer baseado em pilha no tratamento de exceções do 10-Strike Network Inventory Explorer 8.65, que, segundo o registro, pode permitir a atacantes remotos executar código arbitrário. O registro informa pontuação CVSS 3.1 de 9,8 (crítica) fornecida pela VulnCheck, mas não lista versões afetadas ou corrigidas, nem dados do KEV ou da EPSS. Organizações que usam este produto devem verificar sua versão e aplicar atualizações do fabricante quando forem confirmadas.

O plugin Snow Monkey Forms para WordPress apresenta falha de validação de caminhos na função 'generate_user_dirpath', permitindo que atacantes não autenticados excluam arquivos arbitrários no servidor. A CNA atribui pontuação 9.8 (Crítica) no CVSS 3.1, e o registro indica que a remoção de arquivos críticos, como wp-config.php, poderia levar à execução remota de código. Nenhuma exploração confirmada aparece nas fontes consultadas.

Foi relatada uma falha de injeção de SQL (CWE-89) no arquivo transaction.php do Web-Based Inventory and POS System 1.0 da code-projects. A falha é acionada pelo argumento shopid e pode ser explorada remotamente. O NVD a classifica como crítica, com pontuação base CVSS 3.1 de 9.8, e o registro informa que um exploit foi divulgado publicamente, mas não há versão corrigida listada e a CVE não consta no catálogo KEV da CISA.