O que quebrou em duas semanas
Vulnerabilidades exploradas, alertas críticos de pacotes e vazamentos de dados, coletados da CISA, do GitHub e do Have I Been Pwned a cada 30 minutos. Ninguém edita.
28 incidentes ao vivo, 0 explorados ativamente. Atualizado às 06:34 UTC.
Fontes
- CISA KEV
0 exploradas ativamente
- Alertas do GitHub
28 alertas críticos
- Have I Been Pwned
0 vazamentos
Filtro: Crítica. Mostrar tudo
quinta-feira, 22 de outubro
- CVE-2026-96639 Carregadores multi-frame do Pillow podem reutilizar armazenamento nativo de imagem obsoleto após transições de modo. Crítica, pip ·
- GHSA-673q-mjm6-r5xr Next.js: Execução remota de código não autenticada nas funções `use cache` que retornam arrays tipados Crítica, npm ·
- GHSA-2464-fhr4-w9xw Next.js: Execução remota de código não autenticada na API de otimização de imagens quando arquivos SVG são usados. Crítica, npm ·
- GHSA-cg2g-xh64-v4q7 Contornar SAFE_FOR_TEMPLATES do DOMPurify: expressões de template divididas sobrevivem no conteúdo da shadow root anexada nos modos de saída DOM Crítica, npm ·
- CVE-2026-114139 Sentry-Javascript: Contorno de Middleware ao usar a rota Tunnel Crítica, npm ·
quarta-feira, 21 de outubro
- CVE-2026-114125 Storybook: Falta de validação de origem no preview do Storybook permite a injeção de código de sites maliciosos Crítica, npm ·
- CVE-2026-112393 Pillow: estouro de buffer de heap em _tiffWriteProc ao salvar TIFF em BytesIO Crítica, pip ·
- CVE-2026-112900 Pillow: Injeção de Argumento na chamada do Ghostscript, potencialmente levando a execução remota de código Crítica, pip ·
terça-feira, 20 de outubro
- CVE-2026-112403 Pillow: transbordamento de buffer na heap em ImagingJpegDecode Crítica, pip ·
- GHSA-hq85-5cpj-mr62 O repositório de CA embutido do uv confia em uma raiz emSign cujas chaves de CA intermediária estão comprometidas Crítica, pip ·
- GHSA-6q48-6c7w-9gw2 certifi inclui CAs raiz emSign com chaves de CA intermediária comprometidas Crítica, pip ·
segunda-feira, 19 de outubro
- CVE-2026-111057 Mercury: execução remota de código não autenticada em /api/terminals - contorno de controle de acesso Crítica, pip ·
- CVE-2026-111058 Mercury: execução remota de código não autenticada via /api/kernels Crítica, pip ·
sexta-feira, 16 de outubro
- CVE-2026-105192 LMCache: execução remota de código via deserialização insegura no transporte em modo multiprocesso Crítica, pip ·
- CVE-2026-96620 Claude Agent SDK: Injeção de argumento via opção resume permite execução arbitrária de comandos Crítica, pip ·
quinta-feira, 15 de outubro
- CVE-2026-94603 Podman: O comando `podman run` pode ser instruído a desabilitar quase todo o sandboxing por meio de anotação de imagem Crítica, go ·
- CVE-2026-77524 KEDA: escalonamento de privilégios de administrador de namespace para administrador de cluster via KEDA TriggerAuthentication Crítica, go ·
- CVE-2026-77459 Argo CD: contorno das restrições de destination-namespace e de recursos do AppProject por hooks de recursos PreDelete/PostDelete Crítica, go ·
- CVE-2026-104252 Vitess vttablet /twopcz reflected XSS Crítica, go ·
- CVE-2026-102989 TanStack Router: XSS refletido não autenticado nas respostas de função de servidor do TanStack Start Crítica, npm ·
- CVE-2026-102748 Dgraph: Negação de Serviço via removeNode HTTP Admin sem autenticação Crítica, go ·
terça-feira, 13 de outubro
- CVE-2026-105016 Aviso de Segurança da Microsoft CVE-2026-105016 - Vulnerabilidade de Execução Remota de Código no Microsoft QUIC Crítica, nuget ·
- CVE-2026-88092 Aviso de segurança da Microsoft CVE-2026-88092 - Vulnerabilidade de contorno de recurso de segurança do ASP.NET Core Crítica, nuget ·
- CVE-2026-70188 Aviso de segurança da Microsoft CVE-2026-70188 - Vulnerabilidade de contorno de recurso de segurança do ASP.NET Core Crítica, nuget ·
sexta-feira, 9 de outubro
- CVE-2026-108261 iframe de pré-visualização do admin do TinaCMS carrega uma origem controlada pelo atacante a partir do fragmento da URL Crítica, npm ·
- CVE-2026-107845 Contao: cross-site scripting no pacote de comentários Crítica, composer ·
- CVE-2026-68582 Vikunja: token de compartilhamento de link lê os buckets kanban de qualquer inquilino e enumera nomes de usuário/IDs em toda a instância (BOLA) Crítica, go ·
- CVE-2026-107806 Nginx UI: execução remota de código autenticada via sobrescrita de configuração de app no restore de backup Crítica, go ·
A cada meia hora
- Até 30 minutosPrimeiro, CISA, GitHub e Have I Been Pwned publicam; consultamos os três a cada 30 minutos.
- MinutosDepois os registros se juntam por CVE, e páginas, feeds e JSON acompanham em minutos.
- De minutos a uma horaPor fim, um modelo traduz cada um para o português, conferido para que nenhum ID, versão ou link mude.