Análises

A CVE-2026-8024 é uma vulnerabilidade de desserialização de dados não confiáveis (CWE-502) no ibaPDA e no ibaDatCoordinator que pode permitir a um atacante remoto e não autenticado obter acesso total aos sistemas afetados. A CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9,8 e CVSS 4.0 de 9,3. O registro não lista versões afetadas, por isso os operadores devem consultar o aviso VDE-2026-051 do CERT@VDE.

O CVE-2026-54419 descreve múltiplas falhas de injeção de SQL sem autenticação no PIAF-HMS, de claudiopizzillo, um sistema de gestão hoteleira para o PBX-In-A-Flash. A aplicação não possui autenticação e concatena parâmetros HTTP diretamente em chamadas obsoletas a mysql_query. A CNA classifica a falha como crítica (CVSS 3.1 de 9,8), e as fontes não indicam nenhuma versão corrigida.

A CVE-2026-11718 é um bypass de autenticação crítico (CWE-287) no Google MCP Toolbox for Databases (googleapis/mcp-toolbox), afetando as versões 1.0.0 a 1.3.0. Quando a resposta de introspecção OAuth 2.0 omite o campo opcional iss, a verificação do emissor é ignorada silenciosamente, permitindo aceitar tokens de provedores de identidade não pretendidos. Há correção no pull request 3360 do GitHub, e não há exploração confirmada nas fontes consultadas.

A CVE-2026-11717 é um bypass de autenticação crítico no caminho de validação de tokens opacos do googleapis/mcp-toolbox, em que respostas de introspecção sem o campo obrigatório "active" são tratadas como válidas. As versões 1.0.0 a 1.3.0 constam como afetadas, e há uma correção referenciada no pull request 3341. Não há exploração confirmada nas fontes consultadas.

O projeto PHP bus-ticket, de Nur-Alam39, possui uma falha de injeção de SQL sem autenticação em bus_info.php, onde o parâmetro busid enviado via POST é concatenado em uma consulta MySQL sem sanitização ou parametrização. A CNA classifica a falha como crítica, com CVSS 3.1 de 9,8. O projeto não tem versões lançadas e nenhuma correção consta nas fontes consultadas.

Uma falha crítica de injeção de comandos de sistema afeta a função fwrite do pigwidgeon.cgi no backend de gerenciamento web dos TRENDnet TEW-751DR, TEW-752DRU e TEW733GR (firmware 1.03B01/1.03B03). A falha é explorável remotamente pelo argumento service e já existe exploit público. São produtos em fim de vida, sem suporte do fabricante.

A CVE-2026-25371 é uma falha de injeção de SQL cega (CWE-89) no plugin Lumise Product Designer, da King-Theme, para WordPress, classificada pela Patchstack com nota 9.3 (crítica). O vetor CVSS indica exploração pela rede, sem autenticação nem interação do usuário, com alto impacto à confidencialidade. As fontes consultadas não confirmam exploração.

A CVE-2026-25366 é uma falha de injeção de código (CWE-94) no plugin Themeisle Woody ad snippets para WordPress (slug insert-php), afetando versões até a 2.7.1, inclusive. A Patchstack atribui CVSS 3.1 de 9,9 (crítica), exigindo apenas privilégios baixos pela rede. Não há exploração confirmada nas fontes consultadas.

O CVE-2026-55742 é uma falha de Cross-Site Request Forgery no gerenciador de permissões administrativas do CMS Cotonti. A ação de atualização de direitos altera permissões de grupos sem validar o token anti-CSRF, permitindo que um administrador autenticado seja induzido a modificar permissões. A CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9,6.

O OTRS não invalida imediatamente os tokens JWT de autenticação já emitidos quando uma conta de agente ou de usuário cliente é desativada ou tem a senha alterada. O token pode continuar válido até a expiração normal, cerca de 16 horas, e quem já o possui mantém o acesso daquele usuário. O CNA atribui nota 9.1 (crítica) no CVSS 3.1, e a falha afeta o OTRS da linha 7.0.x até versões 2026.x anteriores à 2026.7.x.

O Ghost, sistema de gerenciamento de conteúdo em Node.js, antes da 6.37.0 permitia que usuários não autenticados alterassem a resposta renderizada do frontend com o cabeçalho x-ghost-preview, que um cache compartilhado poderia entregar a outros visitantes. Quando frontend e painel administrativo usam o mesmo domínio, isso pode levar ao sequestro de contas da equipe. A falha foi corrigida na 6.37.0 e tem CVSS 3.1 de 9,6 (crítica).