Análises

As versões do ArcadeDB anteriores à 26.8.1 apresentam falha de falta de autenticação no plugin de protocolo Redis, classificada como CWE-306. A VulnCheck atribui pontuação 9.8 (crítica) no CVSS 3.1, e o registro não indica inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas. Recomenda-se planejar a atualização para a 26.8.1 ou superior e restringir o acesso à porta Redis enquanto isso.

A CVE-2025-11407 descreve uma falha de injeção de comando de sistema operacional (CWE-78) no arquivo /upgrade_filter.asp do D-Link DI-7001 MINI 24.04.18B1, que segundo o registro pode ser iniciada remotamente. A NVD atribui pontuação CVSS 3.1 de 9,8 (crítica), enquanto outros provedores do mesmo registro apresentam valores menores. O registro indica que um exploit foi disponibilizado ao público, porém a CVE não consta no catálogo KEV da CISA e não há versão corrigida registrada.

A CVE-2025-40553 afeta o SolarWinds Web Help Desk em versões anteriores à 2026.1 e é classificada como desserialização de dados não confiáveis (CWE-502). A pontuação CVSS 3.1 informada pelo CNA é 9.8 (crítica), e o registro indica que a exploração poderia ocorrer sem autenticação para executar comandos no host. A CISA não a lista no catálogo KEV e, nas fontes consultadas, não há exploração confirmada.

A CVE-2026-24871 é uma fraqueza de injeção de código (CWE-94) no projeto Minecraft-Rcon-Manage, de pilgrimage233, que afeta versões anteriores à 3.0. O CNA cve_disclosure@tech.gov.sg atribuiu nota 10 no CVSS v4.0, com severidade crítica. Não há exploração confirmada nas fontes consultadas, e o registro não traz versão corrigida estruturada.

O GnuPG da versão 2.5.13 até antes da 2.5.17, e o Gpg4win 5.0.0 anterior à 5.0.1, são afetados por um estouro de buffer baseado em pilha no gpg-agent. A falha é disparada por uma mensagem CMS (S/MIME) EnvelopedData elaborada, com chave de sessão encapsulada superdimensionada. O registro indica que a falha pode ser facilmente usada para negação de serviço e que a corrupção de memória poderia levar à execução remota de código, enquanto a NVD atribui pontuação 9.8 (CVSS 3.1) e nenhuma exploração confirmada aparece nas fontes consultadas.

O plugin Community Events para WordPress apresenta uma falha de SQL Injection no parâmetro event_category em todas as versões até a 1.5.1, inclusive, segundo o registro. A descrição exige acesso de nível Subscriber ou superior, mas o título sugere que não há autenticação, então o nível de privilégio necessário não está claro nos dados disponíveis. A Wordfence registra pontuação CVSS 3.1 de 9.8, sem inclusão no catálogo KEV da CISA e sem exploração confirmada nas fontes consultadas.

A CVE-2025-21589 é um bypass de autenticação (CWE-288) no Juniper Session Smart Router, no Session Smart Conductor e nos WAN Assurance Managed Routers, que, segundo o registro, pode permitir que um atacante na rede assuma controle administrativo do dispositivo. O fornecedor atribui nota 9,8 pelo CVSS 3.1 e 9,3 pelo CVSS 4.0. O registro não indica inclusão no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2025-14988 afeta o ibaPDA e, segundo o registro da CNA, pode permitir ações não autorizadas no sistema de arquivos sob determinadas condições. O registro associa o problema ao CWE-732 e inclui uma pontuação CVSS 4.0 base de 10 fornecida pela CNA. Não há versões afetadas, versões corrigidas nem exploração confirmada nas fontes consultadas.

As versões do SandboxJS anteriores à 0.8.26 contêm uma fuga de sandbox em que o construtor AsyncFunction do host fica acessível a partir do interior da sandbox pela propriedade constructor de uma função assíncrona. O aviso descreve que isso pode permitir a execução de código fora da sandbox com possível acesso total ao host, e o CNA do GitHub classifica a falha como crítica, com pontuação CVSS 3.1 de 10. A versão 0.8.26 contém a correção, e nenhuma exploração confirmada aparece nas fontes consultadas.

O Dirsearch 0.4.1 apresenta uma falha de injeção de CSV em relatórios gerados com a flag --csv-report. Atacantes podem influenciar o conteúdo do relatório por meio de endpoints redirecionados, fazendo com que fórmulas de planilha apareçam no arquivo CSV. O registro indica pontuação CVSS 3.1 de 9.8 e não há inclusão deste CVE no catálogo KEV da CISA.

Versões do Dozzle anteriores à 9.0.3 contêm uma falha de autorização incorreta nos endpoints de shell com suporte de agente. Um usuário restrito por filtros de rótulo pode obter um shell root interativo em contêineres fora do seu escopo no mesmo host do agente. A atualização para a versão 9.0.3, que contém a correção, é a principal medida recomendada.

A CVE-2025-69562 descreve uma falha de injeção de SQL no endpoint /insertmessage.php do code-projects Mobile Shop Management System 1.0, acessível pelo parâmetro userid. A CNA atribuiu pontuação CVSS 3.1 de 9.8 (crítica), com vetor de rede, baixa complexidade e sem necessidade de privilégios ou interação do usuário. O registro não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2020-36964 afeta o servidor FTP YATinyWinFTP e permite que um atacante remoto derrube o serviço FTP por meio de um comando malformado. O registro atribui nota 9.8 no CVSS 3.1 e 8.7 no CVSS 4.0, classificando a falha como escrita fora dos limites (CWE-787). Não há versões afetadas ou corrigidas listadas, e a vulnerabilidade não consta no catálogo KEV da CISA.

O SolarWinds Web Help Desk é afetado por uma vulnerabilidade de bypass de autenticação rastreada como CVE-2025-40554, que poderia permitir que um atacante invocasse ações específicas na aplicação. A CNA a classifica como crítica, com CVSS 3.1 de 9.8. O registro indica versões abaixo de 2026.1 como afetadas e não mostra exploração confirmada nas fontes consultadas.

A CVE-2026-24832 é uma vulnerabilidade de escrita fora dos limites (CWE-787) no projeto ixray-team ixray-1.6-stcop, que afeta versões anteriores à 1.3 segundo o registro. O CNA atribuiu pontuação CVSS 3.1 de 9.8 (Crítica), com vetor de rede, sem privilégios e sem interação do usuário. As fontes consultadas não mostram exploração confirmada, e o registro não informa versão corrigida.