Análises

A CVE-2026-44087 é uma falha de verificação insuficiente da autenticidade de dados (CWE-345) no plugin openid-connect do Apache APISIX com a configuração padrão. Segundo o registro, um atacante pode falsificar cabeçalhos de identidade e obter acesso não autorizado a recursos protegidos. A descrição indica que as versões de 2.3 até 3.16.0 são afetadas e recomenda a atualização para a 3.17.0.

A CVE-2026-12249 afeta o Canonical ADSys nas versões upstream até a v0.16.2. Durante o auto-registro de certificados do AD CS, o componente solicita o certificado da CA por HTTP sem criptografia, o que permite a um atacante de rede em posição de man-in-the-middle injetar uma Root CA falsa no repositório de confiança do sistema. O registro indica que a correção está na v0.16.3.

A CVE-2026-56141 afeta builds do JetBrains Hub em várias ramificações de versão, nas quais códigos de restauração previsíveis podiam permitir a tomada de conta. O CNA classifica a falha como crítica (pontuação base CVSS v3.1 de 9.8), e o registro indica limites de correção para cada ramificação. Nenhuma exploração confirmada aparece nas fontes consultadas.

A CVE-2026-5366 afeta o Prefect versão 3.6.23 e é descrita como uma falha que permite execução remota de código por meio de entrada não validada na classe de armazenamento GitRepository. Segundo o registro, valores controlados pelo usuário chegam a comandos git sem separador, permitindo a injeção de opções do git. O CNA classifica a falha como crítica, com pontuação CVSS 3.0 de 9.9, e não há exploração confirmada nas fontes consultadas.

Uma falha de Cross-Site Request Forgery no plugin cas-auth do Apache APISIX, sob configurações padrão, pode permitir que um atacante remoto leve o navegador da vítima a um estado autenticado vinculado a outra identidade. O registro informa pontuação CVSS 3.1 de 9.3 pela NVD e correção na versão 3.17.0. As fontes consultadas não mostram inclusão no catálogo KEV nem exploração confirmada.

As versões do Langflow anteriores à 1.9.1 permitem que usuários não autenticados enviem dados sem limite, o que pode esgotar o espaço de armazenamento do servidor. A resposta também revela o caminho absoluto dos arquivos enviados, um vazamento de informação que pode auxiliar o encadeamento de outras fragilidades. A correção está disponível na versão 1.9.1, e não há exploração confirmada nas fontes consultadas.

Versões do centraldogma-server anteriores à 0.84.0 usam automaticamente um segredo fixo e de conhecimento público quando a replicação ZooKeeper está habilitada sem replication.secret. Segundo o registro, um atacante com acesso à rede poderia ler o log de replicação ou entrar no quórum para executar comandos replicados. O CNA classifica como crítica, com pontuação CVSS 4.0 de 9.4, e o registro não mostra inclusão no catálogo KEV.

O FOSSBilling nas versões a partir de 0.5.4 e anteriores à 0.8.0 possui um bypass de autorização no tratamento de papéis da API que permite a requisições não autenticadas alcançar endpoints privilegiados /api/system/. A CNA do GitHub atribui pontuação base 10 pelo CVSS 4.0, e o registro indica que a versão 0.8.0 corrige o problema. Nas fontes consultadas não há exploração confirmada, e o registro mostra que o CVE não consta no catálogo KEV da CISA.

O Cap-go anterior à versão 12.128.2 contém uma falha lógica de autenticação que permite a um atacante registrar uma conta vinculada ao e-mail de uma vítima antes que esse endereço seja verificado. Ao ativar a autenticação de dois fatores nessa conta pré-registrada, o atacante pode assumir o controle dela e impedir o acesso do titular legítimo. A análise registra pontuação CVSS 3.1 de 9.1 e CVSS 4.0 de 9.3, publicadas pela VulnCheck, e a vulnerabilidade não consta no catálogo KEV da CISA.

Uma vulnerabilidade de injeção de SQL (CWE-89) no plugin ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes para WordPress afeta versões até a 1.5.3, inclusive. A Patchstack atribuiu pontuação 9.3 pelo CVSS 3.1, e o registro não lista versão corrigida. Não há exploração confirmada nas fontes consultadas.

Uma vulnerabilidade no yt-dlp anterior à versão 2026.06.09 permite que um atacante remoto grave arquivos de atalho do sistema, como .desktop, .url e .webloc, no sistema de arquivos do usuário. Ela contorna a correção anterior do CVE-2024-38519, pois a lista de permissões incluía explicitamente essas extensões. A correção documentada é atualizar para a versão 2026.06.09 ou superior.

A libcurl nas versões 7.1 até 7.57.0 pode enviar cabeçalhos personalizados, incluindo Authorization, a hosts diferentes do original ao seguir redirecionamentos HTTP 30X. Isso pode expor dados de autenticação a terceiros. A NVD atribui CVSS 3.1 de 9.8 (crítica) e o registro não indica inclusão no catálogo KEV.

As versões do Crawl4AI anteriores à 0.8.7 usam uma chave de assinatura JWT padrão embutida no código do servidor de API em Docker. Quem conhecer essa chave pode forjar tokens válidos para qualquer usuário e contornar a autenticação. O registro classifica a falha como crítica (CVSS 3.1 com pontuação 9.8), e não há exploração confirmada nas fontes consultadas.

A CVE-2026-39999 é um bypass de autenticação por spoofing (CWE-290) no Apache APISIX, associado a determinadas configurações do plugin jwt-auth. O registro informa que o problema afeta da versão 2.2 até a 3.16.0 e que é corrigido na 3.17.0. A NVD atribui nota 9.1 pelo CVSS 3.1, e o registro não mostra inclusão no catálogo KEV da CISA.

O plugin SignUp & SignIn para WordPress, nas versões até, e incluindo, 1.0.0, realiza uma verificação fraca durante a redefinição de senha que pode ser abusada sem autenticação. Segundo o registro, um atacante não autenticado poderia alterar a senha de qualquer usuário, incluindo administradores, e assumir a conta. O registro não indica inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas, e não informa uma versão corrigida.