Análises

As versões do PhpSpreadsheet anteriores à 1.30.5 contêm um bypass da correção anterior para o CVE-2026-34084, em que um caminho phar especialmente formado contorna a verificação de wrappers. Segundo o aviso do GitHub, isso pode levar à desserialização de metadados de phar controlados pelo atacante, e o CNA atribuiu pontuação crítica de 9.2 no CVSS 4.0. A falha foi corrigida na versão 1.30.5 e nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-100730 é uma falha crítica de desserialização de dados não confiáveis (CWE-502) em uma interface de console de serviço do Grid Protection Alliance openPDC e openHistorian. O registro informa CVSS 3.1 9.8 e CVSS 4.0 9.3, e descreve possível execução remota de código com os privilégios da conta de serviço. As fontes consultadas não mostram exploração confirmada, e o registro não lista versões corrigidas, então os operadores devem consultar a orientação do fornecedor e da CISA.

A CVE-2026-7165 é uma falha crítica (pontuação CVSS 9,4) divulgada pelo INCIBE no endpoint /addJugador do jogo Assassin da Gaudire. O registro descreve validação de entrada fraca, ausência de verificação de autorização, atribuição própria de privilégios administrativos, condição de negação de serviço e exposição a requisições do lado do servidor. Não constam versões afetadas nem versões corrigidas nas fontes consultadas, por isso recomenda-se acompanhar o aviso do INCIBE e do fornecedor.

A CVE-2026-7166 descreve uma API que expõe valores de e-mail e telefone, além de um banco de dados local com a mesma fragilidade, que contém dados acessíveis de menores e de usuários municipais. A CNA atribui nota 9.2 pelo CVSS 4.0 e indica alto impacto de confidencialidade para um atacante remoto não autenticado. O registro não traz inclusão no KEV, versões afetadas nem correções, por isso o escopo e o status de correção são desconhecidos.

A CVE-2024-58351 afeta o Flowise anterior à versão 2.1.4 e permite injetar configuração no Chainflow durante a execução por meio da opção overrideConfig, tanto na integração web quanto na Prediction API. A descrição aponta possíveis execução remota de código, fuga do sandbox, negação de serviço, SSRF e exfiltração de dados, e informa que o recurso vem habilitado por padrão. O registro não traz exploração confirmada nem dados estruturados de versões afetadas ou corrigidas, então o planejamento de atualização deve se apoiar nos avisos citados.

A Autodesk divulgou uma falha crítica de injeção de código na extensão MCP do Autodesk Fusion. Segundo o registro, uma página web maliciosamente elaborada, acessada por um usuário com o Fusion Desktop em execução e a extensão habilitada, pode levar à execução arbitrária de código com os privilégios desse usuário. As versões anteriores à 2703.1.20 aparecem como afetadas e há uma correção do fornecedor referenciada.

O SP LMS (com_splms), componente da JoomShaper para Joomla, apresenta falha de desserialização de dados não confiáveis (CWE-502) em versões anteriores à 4.1.4. Segundo o registro, um atacante remoto e não autenticado poderia executar código arbitrário no servidor. Não há exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida nem inclusão no catálogo KEV.

A CVE-2026-45480 é uma falha de autenticação inadequada (CWE-287) no Microsoft Azure Active Directory que, segundo a descrição da CNA, permite a um atacante não autorizado elevar privilégios pela rede. A CNA classifica a severidade como crítica, com pontuação base CVSS 3.1 de 10. As fontes consultadas não listam versões afetadas nem corrigidas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-12486 descreve múltiplas falhas de injeção de comando no SO na biblioteca libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09, acessíveis por requisições de rede. A pontuação CVSS 3.1 de 9,1 foi atribuída pelo CNA, e a fraqueza é classificada como CWE-78. O registro não mostra inclusão no catálogo KEV da CISA, dados de EPSS nem informações sobre versões afetadas ou corrigidas.

A CVE-2026-51843 é um estouro de buffer na pilha (CWE-121) no firmware do Tenda AC7 versão 15.03.06.44, acessível pela interface /goform/AdvSetMacMtuWan. O NVD classifica como crítica, com pontuação base CVSS 3.1 de 9.8 e vetor de rede sem necessidade de privilégios ou interação do usuário. O registro não indica inclusão no catálogo KEV, pontuação EPSS nem versão corrigida.

As versões do ProxySQL de 2.0.18 até 3.0.8 contêm uma escrita fora de limites pré-autenticação (CWE-787) nos caminhos de primeira leitura dos protocolos MySQL e PostgreSQL. O registro no NVD classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8 e vetor de rede, sem privilégios e sem interação do usuário. A versão 3.0.9 é indicada como correção, e nenhuma exploração confirmada aparece nas fontes consultadas.

Versões do Langflow anteriores à 1.9.2 contêm uma falha crítica de injeção de código no recurso Shareable Playground, que permite a usuários não autenticados executar fluxos públicos por meio de um link. O registro da CNA atribui pontuação CVSS 3.1 de 9.6 e indica que a correção está na 1.9.2. Não há exploração confirmada nas fontes consultadas.

A Microsoft publicou o CVE-2026-48582, uma falha de falta de autorização (CWE-862) no Microsoft Exchange Online que permite a um atacante autorizado elevar privilégios pela rede. O CNA classifica a severidade como crítica, com pontuação base CVSS 3.1 de 9.6. As fontes consultadas não registram exploração confirmada nem números de versões afetadas ou corrigidas.

Múltiplas falhas de injeção de comando do sistema operacional na biblioteca libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09 podem permitir a execução de comandos por meio de entrada de rede elaborada. O registro classifica o problema como crítico, com pontuação CVSS 3.1 de 9,1, mas não informa a faixa de versões afetadas nem uma versão corrigida. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-12851 descreve múltiplas falhas de injeção de comando do sistema operacional na biblioteca libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09, em que valores de configuração como endereços DNS chegam a um comando de shell sem sanitização. O CNA atribui pontuação base CVSS 3.1 de 9.1 (crítica) e classifica o problema como CWE-78. O registro não mostra inclusão no catálogo KEV, exploração confirmada nas fontes consultadas nem versão corrigida.