Análises

A CVE-2026-103928 afeta consultas nativas e ações do Metabase executadas contra fontes de dados H2, que repassam funções internas voltadas ao host sem restrição. Segundo o registro, um usuário autorizado a executar consultas nativas ou ações pode ler ou gravar arquivos arbitrários no servidor ou vincular outros bancos de dados, e o banco de exemplo padrão torna essa superfície exposta por padrão. O registro indica correção nas versões 1.58.16, 1.59.13, 1.60.9 e 1.61.4, com pontuação CVSS 4.0 de 9.3 (crítica).

A CVE-2026-13909 afeta versões do Google Chrome anteriores à 150.0.7871.47 e envolve aplicação insuficiente de política no DevTools. Segundo o registro, um atacante remoto que já tivesse comprometido o processo renderer poderia potencialmente escapar do sandbox por meio de uma página HTML especialmente elaborada. Nenhuma exploração confirmada aparece nas fontes consultadas.

O WebPros WHMCS não valida a propriedade do parâmetro addonId enviado ao clientarea.php, permitindo que um cliente autenticado use o addon de outro usuário. Segundo o registro, isso leva a acesso não autorizado à conta da vítima e recebe severidade crítica (CVSS 3.1, pontuação 9.1, informada pelo CNA). Não há exploração confirmada nas fontes consultadas, e a página de ajuda da WHMCS referenciada é a principal fonte para detalhes de correção.

A CVE-2026-44225 afeta o Pulpy, empacotador multiplataforma de aplicações web para desktop, nas versões anteriores à 0.1.1. Segundo o aviso, uma lista de bloqueio incompleta na função validateFsPath() permite que qualquer aplicação web empacotada leia e grave arquivos arbitrários na pasta home do usuário. O registro informa pontuação CVSS 3.1 de 9.3 e não há exploração confirmada nas fontes consultadas.

As versões 7.3 a 7.6 do IBM i são afetadas por uma falha de injeção de código (CWE-94) na aplicação web de administração do HTTP Server, causada por sanitização inadequada de dados. O registro descreve um atacante remoto autenticado capaz de obter informações sensíveis ou executar código arbitrário, com pontuação CVSS 3.1 de 9,9 informada pela IBM. O registro não lista versões corrigidas, por isso o aviso do fornecedor deve ser consultado para a remediação.

A CVE-2026-2347 é uma falha de bypass de autorização por chave controlada pelo usuário (IDOR) no Website de E-Commerce da Akilli Commerce Software Technologies Ltd. Co., que afeta versões anteriores à 4.5.001. Segundo o registro, a falha permite sequestro de sessão e recebeu pontuação CVSS 3.1 de 9.8 (crítica), mas nenhuma exploração confirmada aparece nas fontes consultadas.

Versões dos módulos document, case e contract do Valtimo avaliam expressões Spring Expression Language fornecidas pelo usuário com um contexto de avaliação irrestrito, classificadas como injeção de código CWE-94. O registro afirma que um usuário autenticado com a role ADMIN pode alcançar execução remota de código e exfiltração de credenciais, e as páginas NVD e CVE Program indicam pontuação CVSS 3.1 de 9.1. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro traz uma versão corrigida para document que conflita com a faixa afetada.

Versões do CubeCart anteriores à 6.7.0 contêm uma falha de upload arbitrário de arquivos, exigindo autenticação, no endpoint do Gerenciador de Arquivos da API REST, que pode colocar arquivos PHP em um diretório acessível pela web. O registro associa a isso uma falha de path traversal e descreve o resultado como execução remota de código completa, com pontuação base CVSS 3.1 de 9,1. A correção é informada na versão 6.7.0 e não há exploração confirmada nas fontes consultadas.

O SAP Commerce Cloud é afetado pela CVE-2026-34263, causada por uma configuração inadequada do Spring Security. Segundo o registro da CNA, um usuário não autenticado pode injetar entrada maliciosa que resulta em execução arbitrária de código no servidor. A CNA atribui pontuação 9.6 (crítica) no CVSS 3.1, e o registro ainda não informa versões afetadas nem correções.

A CVE-2026-108362 afeta o Privasys Ra-tls-clients em versões anteriores à 0.11.0. Segundo o registro, o verificador não exige uma identidade de plataforma explicitamente autorizada para evidências de atestação TEE, o que pode levar à aceitação de medições de outra plataforma TEE não revogada como se fossem do Attester pretendido. O aviso do fornecedor indica que a correção está na versão 0.11.0.

A IBM divulgou uma falha de injeção de código (CWE-94) no IBM Maximo AI Service nas versões 9.1.0 e 9.2.0, que pode permitir que um atacante remoto execute código arbitrário. Os registros do NVD e do CVE listam pontuação base CVSS v3.1 de 9.8 (crítica), mas as fontes consultadas não mostram exploração confirmada. Organizações com as versões afetadas devem consultar o aviso de suporte da IBM e confirmar a correção aplicável antes de depender de qualquer medida de remediação.

A Progress informou que releases do MarkLogic Server da linha 11.x anteriores à 11.3.7 e da linha 12.x anteriores à 12.1.0 podem permitir que um atacante remoto com acesso de execução de consultas invoque uma função de avaliação de XQuery sem o privilégio adicional exigido. O registro classifica a falha como crítica, com pontuação CVSS 3.1 de 9.9, e descreve possível execução de código no servidor com permissões elevadas. Não há exploração confirmada nas fontes consultadas, e o CVE não consta no catálogo KEV da CISA.

A CVE-2026-85948 afeta versões do Progress MarkLogic Server a partir de 11.0.0 e anteriores a 11.3.7, e a partir de 12.0.0 e anteriores a 12.1.0. Segundo o registro, uma falha de injeção XQuery em um caminho de pacote da API de gerenciamento descontinuado poderia permitir que um atacante remoto com privilégios de usuário de gerenciamento obtenha controle administrativo persistente e não autorizado. O registro informa pontuação CVSS 3.1 de 9.9 (crítica), e não há exploração confirmada nas fontes consultadas.

As versões do ArcadeDB a partir de 21.10.1 e anteriores à 26.4.2 contêm dois defeitos de autorização que permitem a um principal autenticado, inclusive a um token limitado a um único banco, acessar outros bancos no mesmo servidor. O registro classifica o problema como crítico, com pontuação CVSS 3.1 de 9.0, e informa que ele foi corrigido na versão 26.4.2. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.

A CVE-2026-13796 é um estouro de inteiro (integer overflow) no componente Chromecast do Google Chrome anterior à versão 150.0.7871.47, conforme descrito no registro. Um atacante remoto que já tenha comprometido o processo renderizador pode, potencialmente, escapar do sandbox por meio de uma página HTML criada para isso. O registro indica pontuação CVSS 3.1 de 9.6, e a atualização do fornecedor é a principal medida de correção.