Base de CVEs

CVE-2026-11778 Média · 5.4 CWE-94 03/07/2026

CURCY <= 2.2.14 - Unauthenticated Arbitrary Shortcode Execution via 'exchange' Parameter

The The CURCY – Multi Currency for WooCommerce – Smoothly on WooCommerce 9.x plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 2.2.14. This is due to the software allowing users to execute an action that does not properly validate a value before running do_shortcode. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes.

CVE-2026-57624 Crítica · 10.0 CWE-94 02/07/2026

WordPress Blocksy Companion Pro plugin <= 2.1.46 - Remote Code Execution (RCE) vulnerability

Unauthenticated Remote Code Execution (RCE) in Blocksy Companion Pro <= 2.1.46 versions.

CVE-2026-27436 Crítica · 9.1 CWE-94 02/07/2026

WordPress Five Star Business Profile and Schema plugin <= 2.3.19 - Arbitrary Code Execution vulnerability

Editor Arbitrary Code Execution in Five Star Business Profile and Schema <= 2.3.19 versions.

CVE-2026-55794 Alta · 8.7 CWE-94 01/07/2026

Craft CMS: Potential authenticated Remote Code Execution via referrer redirect

Craft CMS is a content management system (CMS). In versions 5.9.0 and above prior to 5.10.0, control panel users with the ability to edit entries can execute unsandboxed Twig code via the HTTP Referrer header, potentially leading to authenticated RCE. The issue happens when a user is saving entries. Strings for a signed redirect URL are being compiled as a Twig template via renderObjectTemplate(), and while a sandboxed alternative already exists (renderSandboxedObjectTemplate()), it is not used in this case. This signed URL can be specified by users, as it is reflected in the “Referer” HTTP request header, which is under attacker control. This issue has been fixed in version 5.10.0.

CVE-2026-14407 Alta · 8.8 CWE-94 01/07/2026

Code Injection em Google Chrome

Inappropriate implementation in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium)

CVE-2026-14383 Alta · 8.8 CWE-94 01/07/2026

Code Injection em Google Chrome

Inappropriate implementation in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium)

CVE-2026-54074 Alta · 7.8 CWE-94 01/07/2026

@tinacms/cli: Remote Code Execution via Forestry migration — unsanitised __TINA_INTERNAL__ marker in user-controlled YAML labels

Tina is a headless content management system. @tinacms/cli versions prior to 2.4.3 contain a Remote Code Execution vulnerability in the Forestry-to-Tina migration command. The internal helper addVariablesToCode unquotes any value matching the marker "__TINA_INTERNAL__:::(.*?):::" inside the stringified collection JSON. User-supplied label and name fields from .forestry/**/*.yml are placed into that JSON without any sanitisation. An attacker who controls a Forestry-style project can therefore inject arbitrary JavaScript into the generated tina/templates.{ts,js} file. The injected code is written at module top level, so it executes the moment the developer runs tinacms dev or tinacms build, with the developer's privileges. This issue has been fixed in version 2.4.3.

CVE-2026-58454 Alta · 7.5 CWE-94 01/07/2026

JAIOTlink C492A-W6 4.8.30.57701411 RCE via /Anyka/config Endpoint

JAIOTlink C492A-W6 Wi-Fi IP cameras running firmware 4.8.30.57701411 contain a remote code execution vulnerability that allows authenticated attackers to execute arbitrary shell scripts by writing to the writable persistent JFFS2 storage path and triggering execution through the authenticated HTTP endpoint. Attackers can stage a malicious script in the writable persistent storage and request the config endpoint to invoke it via popen(), achieving persistent remote code execution that survives device reboots.

CVE-2026-8857 Alta · 8.8 CWE-94 01/07/2026

Full RCE using EasyTimeline Extension

A vulnerability in Wikimedia Foundation timeline. This vulnerability is associated with program files scripts/EasyTimeline.Pl, includes/Timeline.Php. This issue affects timeline: from * before 1.46.0, 1.45.4, 1.44.6, 1.43.9.

CVE-2026-58025 Crítica · 9.8 CWE-94 01/07/2026

Remote Code Execution via Unsafe Deserialization in LogItem Import

Deserialization of untrusted data vulnerability in Wikimedia Foundation MediaWiki. This vulnerability is associated with program files includes/Import/WikiImporter.Php, includes/Import/WikiRevision.Php, includes/Logging/LogEntryBase.Php. This issue affects MediaWiki: from * before 1.46.0, 1.45.4, 1.44.6, 1.43.9.

CVE-2026-24249 Alta · 7.8 CWE-94 01/07/2026

Code Injection em NVIDIA Nemo Megatron Bridge

NVIDIA Megatron Bridge for Linux contains a vulnerability where an attacker could cause deserialization of untrusted data. A successful exploit of this vulnerability might lead to code execution, escalation of privileges, data tampering, and information disclosure.

CVE-2026-24248 Alta · 7.8 CWE-94 01/07/2026

Code Injection em NVIDIA Nemo Megatron Bridge

NVIDIA Megatron Bridge for Linux contains a vulnerability where an attacker could cause improper control of code generation. A successful exploit of this vulnerability might lead to code execution, escalation of privileges, data tampering, and information disclosure.

CVE-2026-56264 Média · 6.1 CWE-94 30/06/2026

Crawl4AI - Arbitrary JavaScript Execution via /execute_js Endpoint

Crawl4AI before 0.8.7 contains an arbitrary JavaScript execution vulnerability in the Docker API server's /execute_js endpoint, which accepts and executes arbitrary user-supplied JavaScript in the server's browser context with --disable-web-security enabled. An attacker can execute arbitrary JavaScript and, combined with the browser's relaxed security settings, perform server-side request forgery against internal services.

CVE-2026-58449 Crítica · 9.8 CWE-94 30/06/2026

txtai: RCE por reflexão insegura no endpoint /reindex (CVE-2026-58449)

txtai até a 9.10.0, corrigido no commit 11b32da, expõe um endpoint de API /reindex cujo parâmetro de corpo function é resolvido por meio de txtai.util.Resolver, que executa __import__ e getattr sobre o caminho pontilhado fornecido pelo chamador, sem lista de permissões. Quando a API é exposta sem TOKEN configurado (a autenticação é opcional, portanto todos os endpoints ficam sem autenticação) e o índice está configurado como gravável, um atacante remoto pode definir function como um chamável arbitrário, como subprocess.getoutput, obtendo execução remota de código como processo do servidor durante a reindexação. A exploração requer essas condições de implantação (API exposta, sem TOKEN, índice gravável); não é a configuração padrão. A correção restringe o endpoint por trás de uma nova flag de configuração de reindexação.

CVE-2026-7873 Crítica · 9.9 Exploit público CWE-94 30/06/2026

IBM Langflow OSS: Injeção de Código com Execução de Comandos no Sistema Operacional

O IBM Langflow OSS 1.0.0 até 1.10.0 permite que atacantes autenticados executem comandos arbitrários no sistema operacional e leiam arquivos sensíveis, incluindo credenciais, possibilitando o comprometimento completo do sistema e movimentação lateral.

CVE-2026-10134 Crítica · 10.0 Exploit público CWE-94 30/06/2026

Injeção de código no IBM Langflow OSS (CVE-2026-10134)

O IBM Langflow OSS 1.0.0 até 1.9.3 permite que um atacante leia todos os segredos disponíveis ao processo do Langflow, leia e modifique todos os flows, conversas, mensagens, uploads de arquivos e componentes salvos no banco de dados do Langflow, conecte-se a serviços internos, abuse de endpoints de metadados de nuvem, mova-se lateralmente para outros tenants na mesma instância do Langflow, e Estabeleça persistência modificando o `tool_code` de um flow público para que chamadas normais a `/api/v1/build/...` feitas por qualquer usuário reexecutem código do atacante a cada build.

CVE-2026-10109 Crítica · 9.8 CWE-94 30/06/2026

IBM Db2: Execução Remota de Código via Handshake DRDA Pré-Autenticação (CVE-2026-10109)

O IBM Db2 11.5.0 até 11.5.9, e 12.1.0 até 12.1.4 é vulnerável a execução remota de código devido ao tratamento inadequado do handshake DRDA pré-autenticação.

CVE-2026-58138 Crítica · 9.8 Exploit público CWE-94 30/06/2026

Orkes Conductor: injeção de código não autenticada com RCE via avaliadores GraalVM

O Orkes Conductor 3.21.21 antes da 3.30.2 contém uma vulnerabilidade de execução remota de código não autenticada que permite a atacantes remotos executar comandos arbitrários do sistema operacional ao submeter definições de workflow inline contendo expressões JavaScript ou Python maliciosas ao endpoint da API de workflow antes da autenticação. Atacantes podem explorar avaliadores GraalVM sem sandbox configurados com HostAccess.ALL ou allowAllAccess(true) por meio dos tipos de tarefa INLINE, LAMBDA, DO_WHILE e SWITCH para invocar comandos arbitrários do sistema via reflexão Java ou chamadas diretas a subprocessos.

CVE-2026-48192 Média · 5.4 CWE-94 30/06/2026

Code Injection em Siemens Mendix Studio Pro 10.11

A vulnerability has been identified in Mendix Studio Pro 10.11 (All versions), Mendix Studio Pro 10.12 (All versions), Mendix Studio Pro 10.13 (All versions), Mendix Studio Pro 10.14 (All versions), Mendix Studio Pro 10.15 (All versions), Mendix Studio Pro 10.16 (All versions), Mendix Studio Pro 10.17 (All versions), Mendix Studio Pro 10.18 (All versions), Mendix Studio Pro 10.19 (All versions), Mendix Studio Pro 10.20 (All versions), Mendix Studio Pro 10.21 (All versions), Mendix Studio Pro 10.22 (All versions), Mendix Studio Pro 10.23 (All versions), Mendix Studio Pro 10.24 (All versions < V10.24.21), Mendix Studio Pro 11.0 (All versions), Mendix Studio Pro 11.1 (All versions), Mendix Studio Pro 11.10 (All versions), Mendix Studio Pro 11.11 (All versions), Mendix Studio Pro 11.2 (All versions), Mendix Studio Pro 11.3 (All versions), Mendix Studio Pro 11.4 (All versions), Mendix Studio Pro 11.5 (All versions), Mendix Studio Pro 11.6 (All versions < V11.6.7), Mendix Studio Pro 11.7 (All versions), Mendix Studio Pro 11.8 (All versions), Mendix Studio Pro 11.9 (All versions). Affected versions of Mendix Studio Pro do not properly validate or sanitize project files processed during the build pipeline. This could allow an attacker who tricks a user into opening and running a specially crafted malicious project locally on their system to execute arbitrary code in the context of that user.

CVE-2026-58116 Alta · 8.8 CWE-94 30/06/2026

LLaMA-Factory 0.9.5 Remote Code Execution via WebUI Model Path

LLaMA-Factory through 0.9.5 contains a remote code execution vulnerability that allows attackers with WebUI access to execute arbitrary Python code by supplying a malicious model path in the Chat or Training interfaces. The application passes user-supplied model path input unvalidated into AutoTokenizer.from_pretrained() and AutoModel.from_pretrained() with a hardcoded trust_remote_code=True parameter, causing the Hugging Face transformers library to fetch and execute arbitrary code from a remote or local model repository with the privileges of the server process.

CVE-2026-37637 Crítica · 9.1 CWE-94 29/06/2026

Alexantr filemanager - injeção de código via filemanager.php

Um problema no Alexantr filemanager v.1.0 permite que um atacante remoto execute código arbitrário por meio do componente filemanager.php

CVE-2026-13749 Alta · 8.8 CWE-94 29/06/2026

Snowflake CLI Arbitrary Code Execution via Snowpark Annotation Processor Template Injection

Improper neutralization in the Snowpark annotation processor callback template in Snowflake CLI versions prior to 3.19 allowed arbitrary code execution during application bundling or deployment. An attacker could exploit this by supplying crafted project content that is interpolated into generated Python code, causing Snowflake CLI to execute attacker-controlled code in the local context of the user running the CLI. Successful exploitation requires the victim to run the relevant bundling or deployment workflow against attacker-controlled project content, and any resulting code runs with the privileges of that local execution context. The fix is available in Snowflake CLI version 3.19, and users must manually upgrade.

CVE-2026-53576 Crítica · 10.0 Exploit público CWE-94 26/06/2026

Kestra: bypass de autenticação na API REST leva a execução de código no contêiner

Kestra é uma plataforma de orquestração de código aberto e orientada a eventos. Antes das versões 1.0.45 e 1.3.21, o filtro de autenticação da API REST (@Filter("/api/v1/**")) trata qualquer requisição cujo caminho termina em /configs como o endpoint público de configuração da instância e a encaminha sem verificação de credenciais. O kestra endereça seus recursos por segmentos de caminho URL escolhidos pelo chamador (/api/v1/{tenant}/flows/{namespace}, /api/v1/{tenant}/executions/{namespace}/{id}, /api/v1/{tenant}/namespaces/{namespace}/kv/{key}). Um chamador anônimo escolhe o literal configs como último segmento, e a requisição contorna totalmente a autenticação Basic-Auth. Como o desvio alcança as rotas de criação de flow e de disparo de execução, um chamador não autenticado cria um flow contendo uma tarefa Shell ou Process e o executa. A tarefa é executada como root dentro do contêiner do kestra. O docker-compose.yml oficial monta /var/run/docker.sock, então root no contêiner alcança o daemon Docker do host. Esta vulnerabilidade está corrigida nas versões 1.0.45 e 1.3.21.

CVE-2026-33646 Crítica · 9.6 CWE-94 26/06/2026

mise: injeção de código por arquivo .tool-versions malicioso (CWE-94)

mise gerencia ferramentas de desenvolvimento como node, python, cmake e terraform. Antes de 2026.3.10, o mise processa arquivos .tool-versions por meio do motor de templates Tera durante a análise, com a função exec() registrada, permitindo execução arbitrária de comandos. Diferentemente dos arquivos .mise.toml, os arquivos .tool-versions não estão sujeitos à verificação de confiança no modo não paranoico. Isso significa que um atacante pode colocar um arquivo .tool-versions malicioso em um repositório git e, quando uma vítima com o mise ativado entrar no diretório, comandos arbitrários serão executados sem nenhum aviso de confiança. Esta vulnerabilidade está corrigida na versão 2026.3.10.

CVE-2026-57315 Alta · 8.5 CWE-94 26/06/2026

WordPress Blocksy Companion Pro plugin <= 2.1.45 - Remote Code Execution (RCE) vulnerability

Contributor Remote Code Execution (RCE) in Blocksy Companion Pro <= 2.1.45 versions.