Análises

A CVE-2025-69565 descreve uma falha de upload de arquivo (CWE-434) no componente /ExAddProduct.php do code-projects Mobile Shop Management System 1.0. O registro informa pontuação CVSS 3.1 de 9.8 e severidade crítica. Nenhuma versão corrigida aparece nas fontes consultadas, e a vulnerabilidade não consta no catálogo KEV da CISA.

A CVE-2025-11423 é uma falha de corrupção de memória na função formSafeEmailFilter do firmware Tenda CH22 1.0.0.1, acionada pela manipulação do argumento page e alcançável remotamente. O registro informa pontuação CVSS 3.1 base de 9.8 atribuída pela CNA VulDB e afirma que existe exploit público. Nenhuma versão corrigida aparece nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-24872 é uma vulnerabilidade crítica no ProjectSkyfire SkyFire relacionada a aritmética de ponteiro imprópria, conforme descrito pelo CNA. O registro informa pontuação CVSS 3.1 de 9.8, com vetor de rede, baixa complexidade e sem necessidade de privilégios ou interação do usuário. As fontes consultadas não trazem dados estruturados de versões afetadas ou corrigidas, apenas a menção a versões anteriores à 5.4.8-stable5.

A CVE-2025-11418 é um estouro de buffer baseado em pilha na função formWrlsafeset do HTTP Request Handler do Tenda CH22, em versões até 1.0.0.1. A CNA VulDB classifica como crítica, com pontuação CVSS 3.1 de 9,8, e descreve a possibilidade de ataque remoto. As fontes consultadas indicam exploit divulgado publicamente, mas não há exploração confirmada na natureza nem correção do fabricante registrada.

Versões do Jahlives openssl_encrypt anteriores à 1.4.0 criam bundles de chaves a partir de dados não confiáveis em PublicKeyBundle.from_dict() sem verificar assinaturas, classificado como CWE-347. O registro associa a falha a possível exposição de segredos, com pontuação CVSS 3.1 de 9.8 (Crítica). Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-56351 afeta o n8n em versões anteriores à 2.4.0 e envolve injeção de SQL nos nós MySQL, PostgreSQL e Microsoft SQL, causada por valores de identificadores não escapados nos parâmetros de configuração dos nós. Usuários autenticados com permissão para criar workflows podem conseguir influenciar nomes de tabelas ou colunas para executar comandos de banco de dados não autorizados. O registro informa pontuação base CVSS 3.1 de 9,6 pela NVD, e o CISA KEV não lista esta CVE.

Versões do xrdp anteriores à 0.10.5 contêm um estouro de buffer baseado em pilha, não autenticado, durante a sequência de conexão RDP, que o registro atribui à verificação inadequada de limites dos dados de domínio do usuário. A NVD atribui pontuação 9.8 pelo CVSS 3.1, e o registro afirma que a atualização para a 0.10.5 traz a correção. Não há exploração confirmada nas fontes consultadas e a falha não consta no catálogo KEV da CISA.

As versões 7.15.2 até 7.15.4 do OAuth2 Proxy podem permitir que requisições ignorem a autenticação em caminhos protegidos quando o conjunto padrão de proxies confiáveis está em uso. Segundo o registro, o problema decorre da confiança em um cabeçalho X-Forwarded-Uri enviado pelo cliente, o que faz a verificação de lista de exceções usar um caminho forjado. O registro não informa versão corrigida e não há exploração confirmada no catálogo KEV da CISA.

A CVE-2025-41108 afeta o Ghost Robotics Vision 60 versão 0.27.2 e é classificada como CWE-287, Autenticação inadequada. A NVD atribui pontuação 9.8 pelo CVSS 3.1 (crítica), e o registro descreve um protocolo de comunicação sem criptografia nem autenticação que permitiria enviar comandos ao robô. Não há exploração confirmada nas fontes consultadas e o registro não lista versão corrigida.

A CVE-2025-69564 é uma vulnerabilidade crítica de injeção de SQL relatada no Mobile Shop Management System 1.0 da code-projects, no endpoint /ExAddNewUser.php. O registro no NVD atribui pontuação CVSS 3.1 de 9.8, com vetor de rede sem necessidade de privilégios ou interação do usuário. Não há versão corrigida listada, o CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

Uma falha de injeção de SQL no arquivo login.php do Web-Based Inventory and POS System 1.0 da code-projects pode ser acionada remotamente pelo argumento emailid. O NVD atribui nota 9.8 (CVSS 3.1, crítica), enquanto a VulDB apresenta notas menores na versão 4.0 do CVSS. Não há versão corrigida nos registros consultados e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-50574 afeta versões do yt-dlp anteriores à 2026.06.09 quando o aria2c é usado como downloader externo para formatos de manifesto fragmentado, como streams HLS ou DASH. Entrada insuficientemente sanitizada repassada ao aria2c pode permitir que um invasor grave arquivos arbitrários, o que, segundo o aviso, pode levar à execução de código. O problema está corrigido na versão 2026.06.09.

O GeoVision GV-I/O Box 4E 2.09 apresenta falhas de injeção de comando do sistema operacional na biblioteca libNetSetObj.so, em que valores recebidos pela rede são repassados sem sanitização a chamadas de sistema. O registro descreve um manipulador de endereço de gateway acessível pelo serviço DVRSearch e pelo endpoint Network.cgi, classificado como crítico pelo CNA com pontuação CVSS 3.1 de 9,1. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não lista versão corrigida.

A CVE-2026-12846 afeta o GV-I/O Box 4E, em que o serviço DVRSearch, que escuta na porta UDP 10001, pode causar estouro de buffer na pilha por meio do campo Net Mask. A CNA atribui pontuação 10.0 no CVSS 3.1, com vetor de rede e sem necessidade de privilégios. O registro não informa versões afetadas nem corrigidas, e não há exploração confirmada nas fontes consultadas.

O CVE-2026-12848 é um estouro de buffer baseado em pilha (CWE-121), classificado como crítico, no serviço UDP DVRSearch do GV-I/O Box, um dispositivo embarcado com entradas e saídas de relé. O CNA atribui pontuação base CVSS 3.1 de 10.0, e o registro indica que usuários da rede podem alcançar o serviço vulnerável. O registro não lista versões afetadas, versões corrigidas nem inclusão no KEV, então a prioridade imediata é avaliar a exposição e contatar o fabricante.