quinta-feira, 22 de outubro
-
CVE-2026-96639
Carregadores multi-frame do Pillow podem reutilizar armazenamento nativo de imagem obsoleto após transições de modo.
- python-pillow Pillow
- Crítica
- CVSS 9.8
- EPSS 0,57%
- Versão corrigida informada
-
CVE-2026-96639
quarta-feira, 21 de outubro
-
CVE-2026-112393
Pillow: estouro de buffer de heap em _tiffWriteProc ao salvar TIFF em BytesIO
- python-pillow Pillow
- Crítica
- CVSS 9.2
- EPSS 0,53%
- Versão corrigida informada
-
CVE-2026-112900
Pillow: Injeção de Argumento na chamada do Ghostscript, potencialmente levando a execução remota de código
- python-pillow Pillow
- Crítica
- CVSS 9.2
- EPSS 0,43%
- Versão corrigida informada
-
CVE-2026-112393
terça-feira, 20 de outubro
-
CVE-2026-112403
Pillow: transbordamento de buffer na heap em ImagingJpegDecode
- python-pillow Pillow
- Crítica
- CVSS 9.2
- EPSS 0,32%
- Versão corrigida informada
-
GHSA-hq85-5cpj-mr62
O repositório de CA embutido do uv confia em uma raiz emSign cujas chaves de CA intermediária estão comprometidas
- uv (PyPI)
- Crítica
- CVSS 9.1
- Versão corrigida informada
-
GHSA-6q48-6c7w-9gw2
certifi inclui CAs raiz emSign com chaves de CA intermediária comprometidas
- certifi (PyPI)
- Crítica
- CVSS 9.1
- Versão corrigida informada
-
CVE-2026-112403
segunda-feira, 19 de outubro
-
CVE-2026-111057
Mercury: execução remota de código não autenticada em /api/terminals - contorno de controle de acesso
- mljar mercury
- Crítica
- CVSS 10.0
- EPSS 0,44%
- Versão corrigida informada
-
CVE-2026-111058
Mercury: execução remota de código não autenticada via /api/kernels
- mljar mercury
- Crítica
- CVSS 9.8
- EPSS 0,44%
- Versão corrigida informada
-
CVE-2026-111057
sexta-feira, 16 de outubro
-
CVE-2026-105192
LMCache: execução remota de código via deserialização insegura no transporte em modo multiprocesso
- LMCache LMCache
- Crítica
- CVSS 9.8
- EPSS 0,48%
- Versão corrigida informada
-
CVE-2026-96620
Claude Agent SDK: Injeção de argumento via opção resume permite execução arbitrária de comandos
- anthropics claude-agent-sdk-python
- Crítica
- CVSS 9.2
- EPSS 0,58%
- Versão corrigida informada
-
CVE-2026-105192
quinta-feira, 8 de outubro
-
CVE-2026-61447
PraisonAI: CodeAgent Executa Código Gerado por LLM Sem Sandboxing e Vaza Todos os Segredos do Ambiente
- MervinPraison PraisonAI
- Crítica
- CVSS 10.0
- EPSS 2,49%
- Versão corrigida informada
-
CVE-2026-61445
PraisonAI: escrita arbitrária de arquivos e execução de comandos no AICoder via chamadas de ferramentas LLM
- MervinPraison PraisonAI
- Crítica
- CVSS 9.9
- EPSS 0,88%
- Versão corrigida informada
-
CVE-2026-61447
quarta-feira, 7 de outubro
-
CVE-2026-105697
Langflow: Injeção de comando do sistema operacional (RCE) via comando arbitrário na configuração do servidor stdio MCP
- langflow-ai langflow
- Crítica
- CVSS 9.9
- EPSS 0,47%
- Versão corrigida informada
-
CVE-2026-62176
PraisonAI: Injeção de código via interpolação de f-string na geração do servidor da API de deploy
- MervinPraison PraisonAI
- Crítica
- CVSS 9.1
- EPSS 0,46%
- Versão corrigida informada
-
CVE-2026-105697
terça-feira, 6 de outubro
-
CVE-2026-10561
Langflow: PythonREPLComponent executa código Python não sandboxed, permitindo RCE e escalada de privilégios autenticados
- IBM Langflow OSS
- Crítica
- CVSS 9.9
- EPSS 0,82%
- Versão corrigida informada
-
CVE-2026-10561
segunda-feira, 5 de outubro
-
CVE-2026-8505
Langflow: Execução de Fluxo Não Autenticada via Contorno de Autenticação de Webhook
- IBM Langflow OSS
- Crítica
- CVSS 9.8
- EPSS 0,72%
- Versão corrigida informada
-
CVE-2026-9205
Langflow: Chave Fernet fraca via random.seed()
- IBM Langflow OSS
- Crítica
- CVSS 9.1
- EPSS 0,3%
- Versão corrigida informada
-
CVE-2026-8505
sexta-feira, 2 de outubro
-
GHSA-v2f8-6655-7grj
Pontos de extremidade do Vibe-Trading FastAPI permitem acesso não autenticado, upload de arquivos e uma cadeia de execução remota de código
- vibe-trading-ai (PyPI)
- Crítica
- CVSS 10.0
- Versão corrigida informada
-
GHSA-jqmf-mx4f-hfr6
Ferramentas chamáveis por LLM do Vibe-Trading permitem execução de comandos, injeção de código e SSRF
- vibe-trading-ai (PyPI)
- Crítica
- CVSS 10.0
- Versão corrigida informada
-
GHSA-v2f8-6655-7grj
terça-feira, 29 de setembro
-
CVE-2026-102268
PyJWT: Bypass de detecção de PEM assimétrico: chaves públicas com espaços/quebras de linha mutadas ignoram o guardião de confusão HS/assimétrico
- jpadilla pyjwt
- Crítica
- CVSS 9.1
- EPSS 0,2%
- Versão corrigida informada
-
CVE-2026-102268
quinta-feira, 24 de setembro
-
CVE-2026-61732
Decepticon: falsificação de limite de função via literais de tokens especiais do ChatML na saída de web crawl composta no contexto do LLM
- BitterSecurity Decepticon
- Crítica
- CVSS 10.0
- EPSS 1,22%
- Versão corrigida informada
-
CVE-2026-61732
quarta-feira, 23 de setembro
-
CVE-2026-57149
plone.app.portlets Vulnerável à Execução Remota de Código via Injeção de TALES
- plone plone.app.portlets
- Crítica
- CVSS 9.9
- EPSS 0,64%
- Versão corrigida informada
-
CVE-2026-57149