Análises

A CVE-2026-85956 afeta o Progress MarkLogic Server e permite que um atacante remoto com privilégios de administrador de banco de dados delegados execute operações de backup ou restauração em florestas fora do escopo de banco de dados autorizado. A Progress Software informa pontuação CVSS 3.1 base de 9.6 (crítica), e as faixas afetadas são de 11.0.0 até antes de 11.3.7 e de 12.0.0 até antes de 12.1.0. Não foi encontrada exploração confirmada nas fontes consultadas, e o registro não lista versões corrigidas, por isso os administradores devem consultar diretamente o aviso do fabricante.

Um estouro de buffer na heap no componente Chromecast do Google Chrome anterior à versão 150.0.7871.47 pode permitir que um atacante remoto que já tenha comprometido o processo renderer tente escapar do sandbox por meio de uma página HTML elaborada. A CNA atribui pontuação 9.6 (CVSS v3.1, crítica), mas as fontes consultadas não indicam exploração confirmada. A principal medida é atualizar o Chrome para uma build corrigida.

Uma falha de XSS armazenado nos nomes de Attribute View do SiYuan pode injetar HTML nos clientes conectados. Segundo o aviso, como a janela principal do Electron roda com integração Node habilitada e isolamento de contexto desabilitado, essa injeção pode levar à execução de código. O registro indica que o problema foi corrigido na versão 3.7.0.

Versões do Dragonfly anteriores à 1.40 apresentam um double-free (CWE-415) na lógica de carregamento de streams RDB, acessível pelo comando RESTORE. O registro informa pontuação CVSS 3.1 de 9.6 atribuída pelo GitHub e indica que, na configuração padrão, um cliente não autenticado poderia potencialmente acioná-lo. Como o registro não associa a falha a uma versão corrigida, recomenda-se restringir o acesso e monitorar até que uma correção confirmada seja publicada.

A CVE-2026-13920 é uma falha de validação imprópria de entrada no componente Media do Google Chrome para Windows anterior à versão 150.0.7871.47. Segundo o registro, um atacante remoto que já tenha comprometido o processo renderer poderia, potencialmente, escapar do sandbox por meio de uma página HTML especialmente elaborada. O registro traz pontuação CVSS 3.1 de 9,6, enquanto a classificação de severidade do Chromium é Média, e nenhuma exploração confirmada aparece nas fontes consultadas.

O efw4.X, um Enterprise Framework for Web, não valida o parâmetro dst usado por elfinder_paste, embora target e targets sejam verificados. Segundo o registro, isso permite copiar ou mover arquivos para destinos arbitrários e contorna o controle protected=true nas versões anteriores à 4.08.010. O registro classifica a severidade como crítica (CVSS 4.0 9.3) e informa que a correção está na 4.08.010.

O JunoClaw, plataforma de IA agêntica construída sobre a Juno Network, possuía ferramentas MCP de escrita que aceitavam um mnemônico BIP-39 em texto puro como parâmetro explícito de chamada. Isso colocava a semente da carteira dentro do JSON de chamadas de ferramentas do LLM, podendo alcançar transporte, logs ou telemetria. O registro indica que a correção está na versão 0.x.y-security-1, e a pontuação CVSS 3.1 informada pelo GitHub é 9.8 (crítica).

O Note Mark, aplicação de anotações de código aberto, não exige tamanho mínimo nem entropia para o JWT_SECRET antes da versão 0.19.4. Segundo o registro, um segredo de apenas 1 byte é aceito, o que pode permitir a falsificação de tokens e a tomada completa de contas. O registro indica correção na versão 0.19.4 e não lista a falha no CISA KEV.

A IBM divulgou uma falha de escalonamento de privilégios no Db2 Mirror for i nas versões 7.4, 7.5 e 7.6, classificada como crítica com pontuação CVSS 3.1 de 9.9. A exploração exige um atacante autenticado e poderia levar a privilégios elevados no sistema afetado. Nas fontes consultadas não há exploração confirmada, e o registro não informa versões corrigidas, por isso o aviso do fornecedor deve ser consultado.

A CVE-2026-41551 é uma vulnerabilidade de path traversal (CWE-23) no ROS# que afeta versões anteriores à V2.2.2, causada por sanitização insuficiente da entrada do usuário. O registro descreve que um atacante remoto poderia acessar arquivos arbitrários no dispositivo, e o CNA a classifica como crítica, com pontuação CVSS 3.1 de 9.1. As fontes consultadas não mostram exploração confirmada, e o registro não lista produtos afetados nem versões corrigidas.

Uma fraqueza de injeção de comando (CWE-77) na função setDMZ do Linksys E1700 na versão 1.0.0.4.003 pode ser acionada remotamente por meio da manipulação do argumento MAC_addr. A VulDB classifica como crítica, com pontuação base CVSS 3.1 de 9.9 publicada pelo CNA. Há um exploit público mencionado, o fabricante não respondeu à divulgação e o registro não lista versão corrigida.

A biblioteca gráfica Skia do Google Chrome não valida de forma suficiente entradas não confiáveis (CWE-20). Segundo o registro, um atacante remoto que já tenha comprometido o processo renderer poderia potencialmente escapar do sandbox por meio de uma página HTML especialmente elaborada. O NVD atribui pontuação base CVSS 3.1 de 9.6 e o CVE não consta no CISA KEV nas fontes consultadas, por isso a principal medida defensiva é atualizar o Chrome para a versão indicada na descrição.

A CVE-2026-42457 é uma falha de cross-site scripting armazenado (CWE-79) no vCluster Platform, acessível pelo campo name de um templateRef. Segundo o registro, ela pode executar scripts no contexto do navegador da plataforma e, no pior caso, permitir a criação de um usuário Global-Admin, sendo necessário que o atacante possa criar namespaces. O registro classifica a falha como crítica (CVSS 3.1, nota 9.0) e indica correções nas versões 4.4.3, 4.5.5, 4.6.2, 4.7.1 e 4.8.0.

Uma falha de falta de autorização no plugin InfusedWoo Pro para WordPress permite, segundo o registro, que usuários não autenticados obtenham privilégios elevados, inclusive em contas de administrador. A Wordfence classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8. O registro não identifica uma versão corrigida, por isso os administradores devem confirmar o status junto ao fornecedor e reduzir a exposição agora.

A CVE-2026-44212 é uma falha de cross-site scripting armazenado na visualização de Atendimento ao Cliente do back-office do PrestaShop, que afeta versões anteriores à 8.2.6 e a partir da 9.0.0-alpha.1 até antes da 9.1.1. Segundo o registro, um atacante não autenticado pode enviar um conteúdo malicioso pelo formulário público Fale Conosco, que é executado quando um funcionário do back-office abre a conversa afetada. A CNA classifica como crítica, com pontuação CVSS v3.1 de 9.3, e não foi encontrada exploração confirmada nas fontes consultadas.