Análises

A CVE-2026-49230 afeta o plugin jwe-decrypt do Apache APISIX na configuração padrão, em que a validação inadequada de um valor de verificação de integridade pode permitir bypass de autenticação. Segundo o registro, as versões de 3.8.0 até 3.16.0 são afetadas e a atualização para 3.17.0 corrige o problema. A NVD classifica a severidade como crítica (9.1 no CVSS 3.1), e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-96809 é uma injeção de SQL cega (CWE-89) no plugin EduAdmin Booking (eduadmin-booking) para WordPress, conforme relatado pela Patchstack. O registro indica versões anteriores à 6.0.0 como afetadas e atribui pontuação CVSS 3.1 de 9.3 (crítica). Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

As versões do Poweradmin anteriores a 4.2.4 e 4.3.3 montam URLs de callback para OIDC, SAML e logout a partir do cabeçalho de requisição Host, sem qualquer validação, e esse cabeçalho pode ser controlado por quem faz a requisição. O registro indica que um atacante não autenticado poderia redirecionar códigos de autorização para um servidor sob seu controle, levando à tomada completa de contas. As versões 4.2.4 e 4.3.3 corrigem o problema.

Um estouro de buffer baseado em pilha no serviço DVRSearch do GV-I/O Box 4E, acessível pela porta UDP 10001, recebe pontuação CVSS 3.1 de 10.0 no registro. O serviço vem ativo por padrão e qualquer usuário da rede pode enviar mensagens a ele. O registro não lista versões afetadas nem corrigidas, e nenhuma exploração confirmada aparece nas fontes consultadas.

O plugin Mojolicious::Plugin::Web::Auth::OAuth2 para Perl, nas versões até 0.17, gera por padrão um valor state do OAuth2 a partir de fontes de baixa entropia quando nenhum gerador é configurado. Um state previsível pode viabilizar CSRF em fluxos OAuth2. A CNA informa pontuação CVSS 3.1 de 9.1; o registro não mostra inclusão no catálogo KEV e não há exploração confirmada nas fontes consultadas.

Versões do FOSSBilling anteriores à 0.8.0 contêm uma falha de Server-Side Template Injection na renderização de templates Twig, acessível a administradores por meio de templates de e-mail, campanhas de e-mail em massa, adaptadores de pagamento personalizados e do endpoint de API string_render. O registro indica que a exploração bem-sucedida pode levar a divulgação de informações e execução remota de código. A correção indicada é a atualização para a versão 0.8.0, e não há exploração confirmada no campo selvagem nas fontes consultadas.

A CVE-2026-54305 afeta versões do n8n anteriores a 1.123.55, 2.25.7 e 2.26.2 (na linha 2.x, a partir de 2.0.0 e de 2.26.0, respectivamente). Três endpoints da edição enterprise usados pelo recurso Dynamic Credentials aceitavam qualquer sessão autenticada sem verificações de propriedade ou escopo por recurso, o que o registro descreve como exposição de metadados de credenciais e possibilidade de sobrescrever ou revogar tokens. A atualização para as versões corrigidas é a remediação documentada.

Uma falha de XSS refletido na página de login do Immich (CWE-79) permite que um link especialmente preparado execute JavaScript na origem da aplicação. Segundo o registro, isso pode ser usado para criar uma chave de API com todas as permissões na conta da vítima, gerando tomada de conta persistente. O aviso indica correção no commit 4eb1003, e o CVE não consta no KEV da CISA.

A CVE-2026-7664 afeta o IBM Langflow OSS da versão 1.0.0 até a 1.8.4. Segundo o registro, a aplicação inadequada de autorização no endpoint de transporte Streamable MCP pode permitir que atacantes não autenticados acessem recursos protegidos de projetos MCP e executem operações MCP. A NVD atribui pontuação CVSS 3.1 base de 9,8 (Crítica), e o registro não indica inclusão no catálogo KEV da CISA.

O plugin Avada (Fusion) Builder para WordPress apresenta falha de exclusão arbitrária de arquivos causada por validação insuficiente de caminhos em todas as versões até a 3.15.3, inclusive. O registro indica severidade crítica, com pontuação CVSS 9.1 atribuída pela Wordfence, e classifica a fraqueza como path traversal (CWE-22). Nenhuma exploração confirmada aparece nas fontes consultadas.

Uma fraqueza no componente MCP Proxy do BerriAI LiteLLM, classificada como CWE-287 (Autenticação Imprópria), é descrita como afetando versões até a 1.59.8. A NVD atribui pontuação base CVSS v3.1 de 9.8 (crítica), e o registro indica um exploit disponível publicamente, embora o CVE não conste no catálogo KEV da CISA. Recomenda-se priorizar a atualização para a versão 1.59.9 ou posterior e limitar a exposição de rede do proxy.

A CVE-2026-50242 afeta o JetBrains Hub e é descrita como um bypass de autenticação por acesso direto ao banco de dados, que poderia levar a acesso administrativo. O CNA classifica como crítica, e o NVD lista CVSS 3.1 de 9,8, com vetor de rede e sem necessidade de privilégios ou interação do usuário. Não há exploração confirmada nas fontes consultadas, e o aviso do fornecedor é a referência principal para correção.

O NI grpc-device 2.17.0 e versões anteriores apresentam uma fraqueza de credenciais padrão inseguras (CWE-306) quando não há configuração TLS e o servidor está vinculado além do loopback. O registro classifica a severidade como crítica, com pontuação CVSS 3.1 de 9.1 e CVSS 4.0 de 9.3, e indica possível acesso não autenticado na rede local. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-51846 é um estouro de buffer baseado em pilha no parâmetro wanSpeed do firmware Tenda AC7 versão 15.03.06.44, conforme o registro da CVE. O registro descreve a falha como capaz de permitir execução remota arbitrária de código e atribui pontuação base CVSS 3.1 de 9.8 (Crítica). O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-11807 é uma falha de falta de autorização no endpoint websocket do Event-Driven Ansible, que não verifica permissões de usuário ao processar mensagens do Worker. Segundo o registro, um usuário autenticado pode obter credenciais em texto puro ligadas a uma ativação arbitrária, com pontuação 9.6 pelo CNA na métrica CVSS 3.1. Nenhuma exploração confirmada aparece nas fontes consultadas.