Análises

Versões do Cap-go anteriores à 12.128.2 contêm um bypass de autenticação na verificação OTP, que pode permitir a um atacante concluir falsamente a verificação de e-mail ao alterar respostas do servidor. Segundo o registro, isso pode habilitar 2FA sem autorização e tomada de conta, e a pontuação CVSS 3.1 base é 9.4 (crítica).

A CVE-2026-44789 afeta o n8n, plataforma de automação de fluxos de trabalho de código aberto, e é classificada como prototype pollution (CWE-1321). Segundo o registro, um usuário autenticado com permissão para criar ou modificar fluxos poderia explorar um parâmetro de paginação não validado no nó HTTP Request para poluir objetos globais, o que, combinado com outras técnicas, poderia levar a execução remota de código. As versões corrigidas são 1.123.43, 2.20.7 e 2.22.1, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-12485 é um estouro de buffer baseado em pilha (CWE-121) no serviço UDP DVRSearch do dispositivo embarcado GV-I/O Box 4E, conforme descrito no registro. Segundo o registro, o serviço roda por padrão e pode ser acessado por qualquer usuário da rede. O vetor CVSS fornecido pelo CNA indica severidade crítica, mas o registro não lista versões afetadas ou corrigidas nem exploração confirmada.

A IBM publicou o CVE-2026-12628, um contorno de autenticação crítico no IBM Storage Protect Client e no IBM Storage Protect Snapshot For Windows, causado por uma credencial fixa no mecanismo de autenticação do FlashCopy Manager. O registro atribui CVSS 3.1 com pontuação base 9.1, classifica a falha como CWE-798 e lista uma referência de correção da IBM. Não há exploração confirmada nas fontes consultadas.

A CVE-2026-42716 é uma falha de Injeção de Objeto PHP não autenticada (CWE-502) no plugin Payever - WooCommerce Gateway para WordPress, nas versões até a 4.8.2 inclusive. A Patchstack informa pontuação CVSS 3.1 base de 9.8 (crítica). As fontes consultadas não mostram exploração confirmada, e o registro não identifica uma versão corrigida.

Versões do picklescan anteriores à 1.0.4 não bloqueiam pelo menos sete módulos da biblioteca padrão do Python que expõem oito funções capazes de executar comandos diretamente. Segundo o registro, um arquivo pickle malicioso que importe esses módulos poderia levar à execução remota de código, contornando a validação de segurança do scanner. A CNA VulnCheck informa pontuação CVSS 3.1 de 9.8 (crítica); não há exploração confirmada nas fontes consultadas.

O plugin Invoice Generator para WordPress possui uma falha na redefinição de senha que permite a atacantes não autenticados definir a senha de contas arbitrárias, incluindo administradores. O registro informa que todas as versões até e incluindo a 1.0.0 são afetadas e classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8. O registro não lista versão corrigida nem exploração confirmada.

O Electron, framework para aplicações desktop multiplataforma, apresenta uma falha crítica no componente Buffer, que calcula incorretamente o tamanho em bytes e provoca underflow ou overflow de buffer na heap. O registro indica que a falha afeta da versão 42.3.1 até a 42.3.3 e que está corrigida na 42.3.3. Nas fontes consultadas não há exploração confirmada.

A CVE-2026-56274 afeta versões do Flowise anteriores à 3.1.2 e é classificada como injeção de comando do sistema operacional (CWE-78) no recurso Custom MCP Server. Segundo o registro, um usuário com conta no Flowise de qualquer papel, ou com acesso à API com permissões de visualização e atualização de chatflows, pode configurar um servidor MCP malicioso que contorna as verificações de flags de comando e de acesso a arquivos locais para executar comandos arbitrários no host. O registro informa pontuação CVSS 3.1 de 9.9 e CVSS 4.0 de 8.7, ambas da VulnCheck, e não indica inclusão no catálogo KEV da CISA.

A CVE-2026-11374 afeta quatro produtos da ManageEngine e trata de tickets SSO gerados para autenticar uma sessão, que poderiam ser previstos por um usuário não autenticado. O CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.0, e a associa ao CWE-287 (Autenticação Imprópria), com tomada de conta como consequência descrita. No momento da análise, o registro não lista versões afetadas, versões corrigidas nem inclusão no catálogo KEV.

A CVE-2026-53753 afeta versões do Crawl4AI anteriores à 0.8.7, nas quais o avaliador de expressões de campos computados pode ser contornado porque o validador AST bloqueia apenas atributos iniciados por sublinhado. Segundo o registro, isso permite escapar da sandbox e executar código arbitrário, sem autenticação via POST /crawl quando o JWT está desativado, que é o padrão. O registro indica correção na versão 0.8.7 e lista scores CVSS 3.1 de 10 (NVD) e 9.8 (GitHub).

A CVE-2026-6653 é uma falha de use-after-free (CWE-416) na rotina xmlParseInternalSubset do GNOME libxml2 nas versões 2.9.11 até 2.11.0, que pode levar a negação de serviço quando entrada XML elaborada é processada. A NVD atribui pontuação CVSS 3.1 de 9.8 (crítica), enquanto a CNA Ubuntu informa pontuação CVSS 4.0 de 7. Há uma referência de correção, o registro não informa versão corrigida e não há exploração confirmada nas fontes consultadas.

A CVE-2026-56422 afeta diversos controladores principais e caminhos de captura de modelos do MISP, nos quais chaves primárias e chaves estrangeiras de propriedade ou escopo enviadas pelo cliente não eram consistentemente fixadas ao objeto autorizado. Um usuário autenticado com acesso a um objeto poderia, em caminhos afetados, fazer o MISP gravar dados em outro objeto. O registro informa pontuação CVSS 4.0 de 9.4 fornecida pela CNA, ausência de inclusão no KEV e nenhuma faixa de versões afetadas ou corrigidas.

A CVE-2026-48020 é uma falha de tratamento de caminhos no middleware StripPrefix do Traefik, um proxy reverso HTTP e balanceador de carga, que afeta versões anteriores a 2.11.48, 3.6.19 e 3.7.3. Segundo o registro, um atacante não autenticado pode alcançar rotas protegidas por middleware de autenticação quando um router público com PathPrefix usa StripPrefix. O problema está corrigido nas versões 2.11.48, 3.6.19 e 3.7.3, e o registro não mostra exploração confirmada nas fontes consultadas.

O MessagePack para C# em versões anteriores a 2.5.301, e no intervalo a partir de 3.0.3 até antes de 3.1.7, usa um construtor sem parâmetros do formatador de entrada cujas opções padrão adotam o perfil de dados confiáveis. Isso pode expor aplicações ASP.NET Core MVC a ataques de negação de serviço, como colisões de hash em propriedades de modelo semelhantes a dicionários. A correção está disponível nas versões 2.5.301 e 3.1.7; a NVD atribui pontuação CVSS 3.1 de 9.1, e nenhuma exploração confirmada aparece nas fontes consultadas.