Análises

As versões do OpenMage Magento-lts anteriores à 20.18.0 geram IDs de sessão das APIs XML-RPC e SOAP com uma construção baseada em tempo e MD5, em vez de um gerador criptograficamente seguro, classificado como CWE-330. O CNA classificou a falha como crítica, com pontuação CVSS 4.0 de 9.3, e o registro informa que ela foi corrigida na 20.18.0. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-9457 é uma falha de injeção de comando no sistema operacional na interface de gerenciamento web do firmware Totolink A8000RU 7.1cu.643_b20200521, acessada pela função UploadFirmwareFile de /cgi-bin/cstecgi.cgi. A CNA VulDB classifica a falha como crítica, com CVSS 3.1 9.8, e descreve exploração remota com exploit divulgado publicamente. O registro não informa versão corrigida nem faixa afetada, e a CVE não consta no catálogo KEV da CISA.

Foi relatada uma falha de injeção de comando (CWE-77) na função setLanguageCfg da interface de gerenciamento web do firmware Totolink A8000RU 7.1cu.643_b20200521. Segundo o registro, o argumento lang pode ser manipulado remotamente para executar comandos no sistema operacional, e há indicação de exploit publicamente disponível. A CNA VulDB atribui CVSS 3.1 de 9,8 (crítica), e nenhuma versão corrigida consta nas fontes consultadas.

A CVE-2026-9456 é uma falha crítica de injeção de comando de sistema operacional (CWE-77) na interface de gerenciamento web do Totolink A8000RU, acessível remotamente pela função setOpenVpnCfg. O CNA, VulDB, atribui nota 9.8 pelo CVSS 3.1 e informa que existe exploit público. O CISA KEV não a lista, portanto não há exploração confirmada no campo nas fontes consultadas.

O DumbAssets até a versão 1.0.11 possui uma falha de path traversal no endpoint de exclusão de arquivos, que pode permitir que atacantes não autenticados apaguem arquivos arbitrários no servidor. O registro atribui pontuação base CVSS 3.1 de 9.1 (crítica), e a remoção de arquivos essenciais como server.js ou package.json pode causar negação de serviço completa. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não lista versão corrigida.

A CVE-2026-9478 é uma falha de injeção de comando no sistema operacional (CWE-77) na função setParentalRules da Interface de Gerenciamento Web do Totolink A8000RU, firmware 7.1cu.643_b20200521. A VulDB atribui pontuação 9.8 (crítica) pelo CVSS 3.1 e informa que o ataque pode ser realizado remotamente. O registro afirma que existe exploit público, mas a CVE não consta no catálogo KEV da CISA e não há versão corrigida registrada nas fontes consultadas.

A CVE-2026-9102 é uma falha de path traversal no ComparisonService do Altium Enterprise Server, causada pela ausência de sanitização de nomes de arquivo nas APIs de upload de arquivos Gerber. Segundo o registro, um usuário autenticado do workspace pode gravar arquivos fora do diretório temporário de upload previsto, o que pode levar à execução de código ou à interrupção do serviço. O CNA classifica como crítica, com pontuação CVSS 4.0 de 9.4, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-44451 afeta versões do Lumiverse anteriores à 0.9.7, nas quais código TSX fornecido pelo usuário no sistema de overrides de componentes pode escapar do sandbox. O registro descreve que tanto o sombreamento de identificadores quanto o validador estático de código podem ser contornados, e que um pacote de tema malicioso pode carregar o gatilho. A descrição do registro indica que a correção está na versão 0.9.7, e nenhuma exploração confirmada aparece nas fontes consultadas.

As versões do phpMyFAQ anteriores à 4.1.2 contêm uma falha de injeção de SQL não autenticada no componente BuiltinCaptcha, em que valores do cabeçalho User-Agent são incorporados a consultas de banco de dados sem sanitização. O registro associa o problema ao endpoint público GET /api/captcha e informa pontuação base CVSS 3.1 de 9,8, atribuída pela VulnCheck. Nenhuma exploração confirmada aparece nas fontes consultadas, e a atualização para a versão 4.1.2 ou posterior é a principal medida defensiva.

A CVE-2026-9408 é registrada como uma falha de injeção de comando no sistema operacional, na Interface Web de Gerenciamento do Totolink A8000RU com firmware 7.1cu.643_b20200521, acessada pela função setStaticDhcpRules. O registro informa que o ataque pode ser feito remotamente e que existe um exploit público. O CNA atribuiu pontuação CVSS 3.1 de 9,8 (Crítica), e não há exploração ativa confirmada nas fontes consultadas.

Foi relatada uma falha de injeção de comando (CWE-77) na interface de gerenciamento web do firmware Totolink A8000RU 7.1cu.643_b20200521. Segundo o registro da CNA, a manipulação do argumento servername da função setOpenVpnCertGenerationCfg em /cgi-bin/cstecgi.cgi pode permitir injeção remota de comandos no sistema operacional, e o registro indica que há um exploit publicado. A CNA atribui nota 9.8 pelo CVSS 3.1, e o registro mostra que a falha não consta no catálogo KEV da CISA.

A CVE-2026-82101 afeta o IBM DataStage no Cloud Pak for Data 5.4.0.0. Segundo o registro, um atacante remoto autenticado poderia causar negação de serviço por meio de uma fraqueza de path traversal (CWE-22). O CNA classifica como crítica, com pontuação base CVSS 3.1 de 9,6, mas o registro não traz intervalo de versões afetadas nem correção, por isso o boletim da IBM deve ser consultado.

O GitLab corrigiu a CVE-2026-97229 no CE e no EE para as versões a partir de 19.2 antes de 19.2.8, 19.3 antes de 19.3.5 e 19.4 antes de 19.4.2. Segundo o registro, em certas condições um usuário não autenticado poderia executar código arbitrário no servidor GitLab por meio de uma expressão regular elaborada em uma configuração de CI/CD. A pontuação CVSS 3.1 base informada é 10.0 (crítica), e a vulnerabilidade não consta no catálogo KEV da CISA.

Um workflow de CI do site Saltyorg Docs pode executar código de build escrito por um atacante, vindo de um pull request de fork, dentro de um workflow privilegiado que possui segredos de publicação. O registro classifica a falha como CWE-94, com pontuação CVSS 3.1 igual a 10, e informa correção no commit 649c9aea2daef1168eeb0415b44e65dbbde9f220. O catálogo KEV não lista esta CVE e nenhuma exploração confirmada aparece nas fontes consultadas.

O plugin Form Notify for Any Forms para WordPress apresenta um bypass de autenticação nas versões até a 1.1.10 inclusive. Como o login OAuth do LINE depende de um cookie fornecido pelo cliente para escolher a conta, atacantes não autenticados podem obter acesso a qualquer usuário do site, inclusive administradores. O registro atribui CVSS 3.1 de 9.8 (Crítica), não informa versão corrigida e não consta no catálogo KEV.