Análises

A CVE-2026-51845 descreve um estouro de buffer baseado em pilha (CWE-121) na interface /goform/AdvSetMacMtuWan do firmware Tenda AC7 versão 15.03.06.44, acionado pelo parâmetro mac. A NVD atribui nota 9.8 (Crítica) pelo CVSS 3.1, com vetor de rede e sem necessidade de privilégios ou interação do usuário. O registro não indica inclusão no catálogo KEV, dados de EPSS nem versão corrigida.

A CVE-2026-105889 é uma falha de injeção de SQL (CWE-89) no plugin de venda de ingressos Tickera para WordPress, nas versões até 3.6.0.6 inclusive, que permite injeção de SQL cega. A Patchstack atribuiu nota 9.3 (crítica) pelo CVSS 3.1, com vetor de rede e sem necessidade de privilégios. O registro não informa versão corrigida e não há exploração confirmada no catálogo KEV da CISA.

A CVE-2026-51844 é um estouro de buffer baseado em pilha (CWE-121) relatado no firmware Tenda AC7 v15.03.06.44, acionado pelo parâmetro cloneType da interface /goform/AdvSetMacMtuWan. A NVD e um segundo provedor de pontuação atribuem CVSS 3.1 9.8 (Crítica), e o registro não lista versão corrigida. O CISA KEV não a inclui e não há exploração confirmada nas fontes consultadas.

O CVE-2026-44792 é uma falha crítica de injeção de SQL (CWE-89) no n8n, plataforma de automação de fluxos de trabalho de código aberto. Um invasor com permissão de escrita em um repositório git conectado ao Source Control pode incluir um arquivo JSON de Data Table manipulado, processado quando um administrador executa um Source Control Pull, em instâncias que usam PostgreSQL. As versões corrigidas são 1.123.43, 2.20.7 e 2.22.1, e o registro não mostra exploração confirmada.

A IBM publicou a CVE-2026-9072, que afeta o WebSphere Application Server e o WebSphere Application Server Liberty quando usados com o Intelligent Management e o componente WebSphere WebServer Plug-in. O registro descreve execução remota de código e negação de serviço, possivelmente acionadas quando um atacante se passa por servidores backend e envia respostas forjadas ao plug-in. A NVD atribui nota 9.8 (crítica) no CVSS 3.1, mas o campo de produtos afetados do registro não corresponde à descrição WebSphere, então o escopo deve ser confirmado no boletim da IBM.

A IBM divulgou uma fragilidade de HTTP request smuggling (CWE-444) no WebSphere Application Server 8.5 e 9.0 e no WebSphere Application Server Liberty nas versões 17.0.0.3 a 26.0.0.6. O registro descreve um atacante remoto que pode enviar uma requisição especialmente construída para contornar controles de segurança, falsificar identidade, escalar privilégios e expor informações sensíveis. Não há exploração confirmada nas fontes consultadas, e o registro não indica inclusão no catálogo KEV.

A CVE-2026-11551 afeta o plugin Branda para WordPress em todas as versões até, inclusive, 3.4.29. O plugin não verifica adequadamente a identidade do usuário antes de atualizar uma senha, o que permite que atacantes não autenticados alterem senhas de outros usuários, inclusive administradores. O registro informa pontuação CVSS 3.1 de 9.8 (Crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-96330 é uma injeção de SQL cega (CWE-89) no plugin WordPress tagDiv Opt-In Builder, que afeta versões até a 1.7.6 segundo o registro. A Patchstack informa pontuação CVSS 3.1 de 9.3, classificada como crítica. O registro não traz versão corrigida e não há exploração confirmada nas fontes consultadas.

A CVE-2026-42723 é uma falha crítica de Injeção de Objeto PHP (CWE-502) no tema WordPress CleanSkin, da AncoraThemes, que afeta versões até 1.5.0 inclusive. O registro descreve a falha como não autenticada e informa pontuação base CVSS 3.1 de 9.8 atribuída pela Patchstack. As fontes consultadas não indicam versão corrigida nem exploração confirmada.

Versões do Langflow anteriores à 1.9.2 contêm uma falha que permite a um atacante que controla arquivos ingeridos em um fluxo RAG fazer um componente ler qualquer arquivo do sistema por caminho absoluto. O CNA GitHub atribui pontuação CVSS 3.1 de 9.6, e o registro informa que a correção está na 1.9.2. O CVE não consta no catálogo KEV e não há exploração confirmada nas fontes consultadas.

A CVE-2026-42718 é uma falha de injeção de objeto PHP não autenticada (CWE-502) no plugin Booster for WooCommerce para WordPress, nas versões até a 8.4.0 inclusive. A Patchstack, CNA responsável, classifica a falha como crítica, com nota 9.8 no CVSS 3.1. O registro não informa versão corrigida nem exploração confirmada.

Versões do Deno a partir de 2.0.0 e anteriores à 2.7.8 podem enviar dados da aplicação sem criptografia quando um cliente TLS recorre a outra família de endereços após uma tentativa inicial falha. A falha está ligada ao comportamento de autoSelectFamily na camada de compatibilidade tls do Node.js e está corrigida na 2.7.8. A NVD atribui nota 9.1 (CVSS 3.1), e não há exploração confirmada nas fontes consultadas.

A CVE-2019-25763 é um bypass de autenticação no formulário de login por redes sociais do WordPress Ultimate Addons for Beaver Builder 1.2.4.1, conforme descrito no registro. A CNA VulnCheck classifica como crítica, com pontuação CVSS 3.1 de 9.8 e CVSS 4.0 de 9.3. O registro não indica inclusão no catálogo KEV, nem exploração confirmada nas fontes consultadas, e não traz lista de versões afetadas ou corrigidas.

O CVE-2026-49468 é um bypass de autenticação crítico (CWE-290) no proxy LiteLLM anteriores à versão 1.84.0. Um cabeçalho Host forjado pode fazer a camada de autenticação avaliar uma rota diferente da que foi despachada, podendo expor rotas de gerenciamento protegidas sem autenticação em condições específicas. O registro indica correção na versão 1.84.0, e a vulnerabilidade não consta no CISA KEV.

Um estouro de buffer baseado em pilha na funcionalidade de login do endpoint cgi-bin/cstecgi.cgi do roteador Totolink EX1200L recebeu classificação crítica, com pontuação CVSS v4.0 de 9.4, segundo o CNA CERT Polska. A descrição afirma que a exploração poderia provocar a falha do programa e permitir execução remota de código com impacto de root. A vulnerabilidade foi confirmada apenas na versão 9.3.5u.6146_B20201023, e o fornecedor não respondeu às tentativas de contato.