Tudo o que registramos
terça-feira, 20 de outubro
- CVE-2026-96656 Plex Media Server Vulnerabilidade de Controle Externo de Nome ou Caminho de Arquivo Prazo CISA: 23 de out. de 2026
- CVE-2026-96655 Vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) do Plex Media Server Prazo CISA: 3 de nov. de 2026
- CVE-2026-96654 Vulnerabilidade de neutralização inadequada de esquemas de URI codificados em uma página web no Plex Media Server Prazo CISA: 23 de out. de 2026
- CVE-2026-96652 Vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) no Plex Media Server Prazo CISA: 3 de nov. de 2026
- CVE-2026-110936 Vulnerabilidade de elemento de caminho de busca não controlado no Siemens Software Center Prazo CISA: 3 de nov. de 2026
- CVE-2026-106931 Vulnerabilidade de injeção de comando do sistema operacional no EG Secure Solutions SiteGuard Server Edition Prazo CISA: 23 de out. de 2026
- Violação de dados da Assurance Retraite 70.372 contas
domingo, 18 de outubro
- Violação de dados da Gîtes de France 117.574 contas
sexta-feira, 16 de outubro
- CVE-2026-102764 Vulnerabilidade de bypass de autenticação por spoofing no BeyondTrust Remote Support Prazo CISA: 19 de out. de 2026
- CVE-2025-61624 Vulnerabilidade de Path Traversal em Múltiplos Produtos da Fortinet Prazo CISA: 19 de out. de 2026
quinta-feira, 15 de outubro
- CVE-2026-21589 Vulnerabilidade de arquivos ou diretórios acessíveis a partes externas em múltiplos produtos da Atlassian Prazo CISA: 18 de out. de 2026
quarta-feira, 14 de outubro
- CVE-2026-76519 Vulnerabilidade de path traversal relativo no Cisco Secure Email Gateway Prazo CISA: 17 de out. de 2026
- CVE-2026-105134 Vulnerabilidade de injeção de comando no Ahsay AhsayCBS Prazo CISA: 17 de out. de 2026
- CVE-2026-105133 Vulnerabilidade de autenticação inadequada no Ahsay AhsayCBS Prazo CISA: 17 de out. de 2026
- CVE-2026-0322 Vulnerabilidade de injeção de código do Palo Alto Networks PAN-OS Prazo CISA: 17 de out. de 2026
- Vazamento de dados da Crunchbase 559.908 contas
terça-feira, 13 de outubro
- CVE-2026-96951 Vulnerabilidade de injeção de comando do Microsoft Windows Prazo CISA: 16 de out. de 2026
- CVE-2026-104935 Vulnerabilidade de bypass de autenticação por spoofing no Ivanti Connect Secure Prazo CISA: 16 de out. de 2026
segunda-feira, 12 de outubro
- Vazamento de dados da Sharecare 318.185 contas
sexta-feira, 9 de outubro
- CVE-2026-68582 Vikunja: token de compartilhamento de link lê os buckets kanban de qualquer inquilino e enumera nomes de usuário/IDs em toda a instância (BOLA) Crítica, go ·
- CVE-2026-107806 Nginx UI: execução remota de código autenticada via sobrescrita de configuração de app no restore de backup Crítica, go ·
- Vazamento de dados da Neogen 435.963 contas
quinta-feira, 8 de outubro
- CVE-2016-3081 Vulnerabilidade de execução remota de código do Apache Struts Prazo CISA: 11 de out. de 2026
- CVE-2023-22894 Strapi vazando informações sensíveis de usuários ao filtrar em campos privados Prazo CISA: 11 de out. de 2026
- CVE-2021-3199 Vulnerabilidade de Path Traversal no ONLYOFFICE Docs Server Prazo CISA: 11 de out. de 2026
- CVE-2015-5477 Vulnerabilidade de erros de processamento de dados do ISC BIND Prazo CISA: 11 de out. de 2026
- CVE-2015-3306 Vulnerabilidade de Controle de Acesso Inadequado no ProFTPD Prazo CISA: 11 de out. de 2026
- CVE-2026-61447 PraisonAI: CodeAgent Executa Código Gerado por LLM Sem Sandboxing e Vaza Todos os Segredos do Ambiente Crítica, pip ·
- CVE-2026-61445 PraisonAI: escrita arbitrária de arquivos e execução de comandos no AICoder via chamadas de ferramentas LLM Crítica, pip ·
- CVE-2026-107722 fast-jwt: Patch incompleto para CVE-2026-34950: prefixo de chave não-espacial reativa confusão de algoritmo RSA→HS256 Crítica, npm ·
- CVE-2026-106446 Handlebars: Injeção de JavaScript via confusão de tipo AST em compile (contorno de CVE-2026-33937) Crítica, npm ·
- CVE-2026-107282 AsyncHttpClient: Replay para um host diferente envia a solicitação e as credenciais do host original para o novo host. Crítica, maven ·
- CVE-2026-107726 Hazelcast permite acesso à memória de membro arbitrário por cliente de baixo privilégio Crítica, maven ·
quarta-feira, 7 de outubro
- CVE-2026-105857 Payload Form Builder tem um problema de execução remota de código Crítica, npm ·
- CVE-2026-93605 vm2 contém uma vulnerabilidade de escape de sandbox Crítica, npm ·
- CVE-2026-106102 Quasar Framework: XSS armazenado/refletido via renderização de meta tag SSR não escapada em getHead() Crítica, npm ·
- CVE-2026-105697 Langflow: Injeção de comando do sistema operacional (RCE) via comando arbitrário na configuração do servidor stdio MCP Crítica, pip ·
- CVE-2026-105859 Payload: atualização não autorizada de documentos de coleção Crítica, npm ·
- CVE-2026-62252 Homer: Senha de administrador padrão hardcoded 'sipcapture' sem alteração forçada na primeira entrada Crítica, go ·
- CVE-2026-62253 Homer: Contorno completo de autenticação quando coordinator.jwt.secret está vazio (padrão) Crítica, go ·
- CVE-2026-106501 Backstage: exposição de informações sensíveis no Scaffolder Crítica, npm ·
- CVE-2026-73483 Fuga de sandbox Flowise NodeVM via allowlist do puppeteer - execução remota de código autenticada e leitura arbitrária de arquivos via Chromium Crítica, npm ·
- CVE-2026-105863 Problema no manuseio do campo do token de autenticação da carga útil Crítica, npm ·
- CVE-2026-62176 PraisonAI: Injeção de código via interpolação de f-string na geração do servidor da API de deploy Crítica, pip ·
- CVE-2026-73487 Injeção de prompt no Flowise para RCE e SSRF via contorno do validador do agente CSV/Airtable Python Crítica, npm ·
- Vazamento de dados da CyrusOne 373.460 contas
- Violação de dados do Double Counter 274.922 contas
- Violação de dados da Angel One 6.765.054 contas
terça-feira, 6 de outubro
- CVE-2026-10561 Langflow: PythonREPLComponent executa código Python não sandboxed, permitindo RCE e escalada de privilégios autenticados Crítica, pip ·
- CVE-2026-105845 Payload: SQL Injection no SQLite e no Postgres Crítica, npm ·
- CVE-2026-105851 Payload: Controle de acesso a campos contornado em coleções de autenticação Crítica, npm ·
- CVE-2026-105844 Payload: poluição de protótipo no plugin Payload Import Export Crítica, npm ·
- CVE-2026-102422 shell-quote: injeção de comando `quote()` via um terminador de linha em um token após um token { comment } Crítica, npm ·
- CVE-2026-105794 MsQuic: Validação incorreta de certificado no Microsoft.Native.Quic.MsQuic.OpenSSL Crítica, nuget ·
segunda-feira, 5 de outubro
- CVE-2026-92955 vm2: Escape do sandbox (NodeVM) Crítica, npm ·
- CVE-2026-92946 vm2: Acesso irrestrito ao sistema de arquivos do host e RCE total com `require.external` sem um `require.root` explícito Crítica, npm ·
- CVE-2026-92947 vm2: código em sandbox pode ler e escrever a memória do realm do host via o pool de Buffer compartilhado do Node Crítica, npm ·
- CVE-2026-92956 Fuga de sandbox vm2 via bypass de espécie Promise do WebAssembly.compileStreaming Crítica, npm ·
- CVE-2026-104846 Seroval: assimilação thenable de Promise de `fromJSON()` invoca callables produzidos por plugins (contorno de GHSA-mv8w-475r-vwqw) Crítica, npm ·
- CVE-2026-8505 Langflow: Execução de Fluxo Não Autenticada via Contorno de Autenticação de Webhook Crítica, pip ·
- CVE-2026-100721 vm2: contorno de resolução personalizada do NodeVM ignora os limites do caminho externo Crítica, npm ·
- CVE-2026-104848 Tinypool: gadget de poluição de protótipo nas opções do worker leva à execução remota de código Crítica, npm ·
- CVE-2026-104849 Tinypool: Gadget de poluição de protótipo para RCE nas opções de run() Crítica, npm ·
- CVE-2026-92934 escape de sandbox vm2 para execução remota de código no host via contornagem revisitada de AggregateError envolvido pelo host que contorna o ciclo de curto-circuito de sanitização de erro Crítica, npm ·
- CVE-2026-103922 Capacitor Android e iOS: conteúdo remoto pode ser carregado na origem do app via o caminho do proxy HTTP interno Crítica, npm, swift ·
- CVE-2026-92953 vm2: A VM padrão pode mutar intrínsecos host TypedArray e ArrayBuffer após o reparo da poluição do protótipo do host Crítica, npm ·
- CVE-2026-102829 simple-git: variável de ambiente `VISUAL` do editor é omitida da detecção de editor inseguro Crítica, npm ·
- CVE-2026-102828 O guardião de operações inseguras do simple-git não bloqueia a configuração de comandos trailer Crítica, npm ·
- CVE-2026-92954 vm2: A rejeição de Promise retornada pelo host pode contornar o endurecimento de rejeição não tratada do vm2 e encerrar o processo host Crítica, npm ·
- CVE-2026-90711 proxy-addr vulnerável a spoofing de IP via sub-rede de confiança IPv4-mapped IPv6 Crítica, npm ·
- CVE-2026-9205 Langflow: Chave Fernet fraca via random.seed() Crítica, pip ·
domingo, 4 de outubro
- CVE-2026-88779 Vulnerabilidade de restrição inadequada de operações dentro dos limites de um buffer de memória no Citrix NetScaler Prazo CISA: 7 de out. de 2026
sexta-feira, 2 de outubro
- CVE-2026-102490 Vulnerabilidade de gerenciamento inadequado de privilégios no Zammad GmbH Zammad Prazo CISA: 5 de out. de 2026
- CVE-2026-102489 Vulnerabilidade de fixação de sessão do Zammad GmbH Zammad Prazo CISA: 5 de out. de 2026
- GHSA-v2f8-6655-7grj Pontos de extremidade do Vibe-Trading FastAPI permitem acesso não autenticado, upload de arquivos e uma cadeia de execução remota de código Crítica, pip ·
- GHSA-jqmf-mx4f-hfr6 Ferramentas chamáveis por LLM do Vibe-Trading permitem execução de comandos, injeção de código e SSRF Crítica, pip ·
- CVE-2026-73802 gitea-runner: container.options do workflow passa namespaces e flags de capacidade do host para o container do job quando o modo privilegiado está desabilitado Crítica, go ·
- CVE-2026-10032 @a2ui/web_core: `openUrl` permite a execução de URI `javascript:` via ações de botão fornecidas pelo agente Crítica, npm ·
- GHSA-gg6r-gp4c-89hp Trigger.dev: Socket.IO não autenticado do coordenador V1 default-secret Crítica, npm ·
quinta-feira, 1 de outubro
- CVE-2026-104286 Vulnerabilidade de path traversal do Fortinet FortiMail Prazo CISA: 4 de out. de 2026
- CVE-2026-92940 vm2 expõe credenciais HTTPS do host e tráfego TLS através do globalAgent Crítica, npm ·
- CVE-2026-92937 vm2: contorno do fix GHSA-m283-3h24-438v leva à execução remota de código no host via indireção de call/apply Crítica, npm ·
- CVE-2026-92941 vm2 NodeVM pode substituir o armazenamento de confiança TLS do processo host Crítica, npm ·
- CVE-2026-69085 SiYuan: Injeção de SQL não autenticada em searchDocs via palavra-chave não escapada (modo de publicação): leitura/escrita entre cadernos com empilhamento de instruções Crítica, go ·
- CVE-2026-92948 vm2: contorno da lista de permissões builtin do NodeVM via node:test.run() permite escape do sandbox. Crítica, npm ·
- CVE-2026-92951 O Resolvedor de Módulos Personalizado do vm2 Pode Contornar a Lista de Permissão de Pacotes Externos Carregando um Pacote Host Colidente Crítica, npm ·
- CVE-2026-92957 vm2: bypass de negação de builtin prefixado com node:- no child_process expõe o NodeVM Crítica, npm ·
- CVE-2026-92938 vm2 permite que um plugin sandboxed execute código nativo através de `node:sqlite` Crítica, npm ·
- CVE-2026-92939 vm2 crypto builtin carrega código nativo do atacante através de setEngine Crítica, npm ·
- CVE-2026-92944 escape de sandbox vm2 no Node.js 26 através de um protector PromiseThenLookupChain obsoleto Crítica, npm ·
- CVE-2026-102992 piscina: gadget de poluição de protótipo em ThreadPool.options permite RCE via execArgv / loadBalancer / env Crítica, npm ·
- CVE-2026-92935 vm2: guarda de aninhamento do NodeVM aceita require em forma de array e permite execução remota de código no host Crítica, npm ·
quarta-feira, 30 de setembro
- CVE-2026-76504 Vulnerabilidade de codificação hexadecimal do Cisco Catalyst SD-WAN Manager Prazo CISA: 3 de out. de 2026
- GHSA-vcvr-r3jv-pc5j Next.js: execução remota de código no next/og ImageResponse Crítica, npm ·
terça-feira, 29 de setembro
- CVE-2026-86950 Vulnerabilidade de escrita fora dos limites em múltiplos produtos da Apple Prazo CISA: 13 de out. de 2026
- CVE-2026-101894 @xhmikosr/decompress: path traversal via cadeia de links simbólicos Crítica, npm ·
- CVE-2026-102268 PyJWT: Bypass de detecção de PEM assimétrico: chaves públicas com espaços/quebras de linha mutadas ignoram o guardião de confusão HS/assimétrico Crítica, pip ·
domingo, 27 de setembro
- CVE-2026-88772 Vulnerabilidade de restrição inadequada de operações dentro dos limites de um buffer de memória do Citrix NetScaler Prazo CISA: 30 de set. de 2026
- CVE-2026-88771 Vulnerabilidade de validação inadequada de entrada do Citrix NetScaler Prazo CISA: 30 de set. de 2026
sexta-feira, 25 de setembro
- CVE-2026-87902 Vulnerabilidade de inclusão remota de arquivos no WordPress Core Prazo CISA: 28 de set. de 2026
- CVE-2026-67279 Vulnerabilidade de aplicação inadequada de fluxo de trabalho comportamental no Mikrotik RouterOS Prazo CISA: 28 de set. de 2026
- CVE-2026-65660 Vulnerabilidade de injeção de código no Microsoft SharePoint Prazo CISA: 28 de set. de 2026
- CVE-2026-92161 FriendsOfFlarum OAuth: tomada de conta de conta não autenticada via confiança em e-mail não verificado no provedor de OAuth do Discord Crítica, composer ·
quinta-feira, 24 de setembro
- CVE-2026-71362 Vulnerabilidade de autorização incorreta do Adobe Commerce e Magento Prazo CISA: 27 de set. de 2026
- CVE-2026-5430 Vulnerabilidade de Path Traversal em Múltiplos Produtos da WSO2 Prazo CISA: 27 de set. de 2026
- CVE-2026-61732 Decepticon: falsificação de limite de função via literais de tokens especiais do ChatML na saída de web crawl composta no contexto do LLM Crítica, pip ·
- CVE-2026-59167 SunEditor: vulnerabilidade crítica de XSS - contorno do sanitizador Crítica, npm ·
- CVE-2026-61742 O transporte HTTP do DBHub permite execução de SQL de origem do navegador sem autenticação devido ao DNS rebinding. Crítica, npm ·
- CVE-2026-61741 http4s-scala-xml tem um problema de processamento de Entidade Externa XML (XXE) Crítica, maven ·
- CVE-2026-61604 ixo Blockchain x/bonds DID-resolved payer drain + x/entity ICA authorization bypass Crítica, go ·
quarta-feira, 23 de setembro
- CVE-2026-77602 OpenC3 COSMOS: execução remota de código autenticada via overlay de configuração que pode ser escrito pelo usuário (definições de tabelas, definições de cmd/tlm e suítes de scripts) Crítica, rubygems ·
- CVE-2026-57149 plone.app.portlets Vulnerável à Execução Remota de Código via Injeção de TALES Crítica, pip ·