Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Inclusão de arquivos locais não autenticados no WP Cafe Pro < 3.0.15 versões. Registro de aconselhamento: GHSA-f 9 fq- 34 wr- 7637.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. O HCL Hive é afetado por uma vulnerabilidade de controle de acesso quebrada que pode permitir que um atacante ou usuário não autorizado introduza código não verificado, malicioso ou quebrado diretamente em ambientes de produção.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Várias vulnerabilidades nas versões afetadas do Zscaler Client Connector permitem escalada de privilégios locais, dando a um usuário desprivilegiado a capacidade de executar código arbitrário em um contexto privilegiado.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Fluxo TIM antes 26.0.6 contém uma vulnerabilidade de autorização inadequada que permite que qualquer usuário autenticado envie consultas SQL arbitrárias a um endpoint de exportação privilegiado do painel Excel destinado apenas para uso administrativo. Os atacantes podem criar e enviar consultas SQL não autorizadas para o endpoint de exportação para.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Vulnerabilidade de autenticação incorrecta no componente principal HTTP da plataforma Apache Camel.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. O Dell Client BIOS contém uma vulnerabilidade de Resolução de Link Incorreto Antes do Acesso ao Arquivo ('Link Following'). Um atacante de baixa privilegiação com acesso local pode potencialmente explorar esta vulnerabilidade, levando à gravação arbitrária
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Um arquivo SVG maliciosamente criado, quando analisado através do Autodesk 3 ds Max, pode desencadear uma vulnerabilidade de Recursão Não Controlada. Um ator malicioso pode aproveitar esta vulnerabilidade para fazer com que o aplicativo termine inesperadamente, resultando em uma negação de serviço.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. Administrar versões antes 5.4.3 conter uma vulnerabilidade de upload de arquivo sem restrições no plugin AdministratorFileUpload que permite aos usuários autenticados carregar arquivos PHP explorando uma lista de licenças de extensão padrão permissiva. Os atacantes podem carregar as webshells PHP para colunas terminando em _caminho e executar código.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. O plug-in do getgrav/grav-plugin-login Composer antes 3.9.1 (usado pelo Grav) compara a senha de reset e os tokens de ativação da conta usando um tempo não constante === comparação de string em vez de hash_equals() em classes/Controller.php (taskReset()) e login.php (handler de ativação). Como o objetivo de submissão de token (tarefaReset) também não.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. Versão NLTK antes 3.10.3 não conseguir usar caminhos absolutos validados quando se invoca o binário do ponto Graphviz em dependênciagraph.dot 2 Img e AlinhadoSent._repr_svg_, permitindo que os atacantes executem código arbitrário colocando um binário de pontos maliciosos no caminho de pesquisa ou diretório de trabalho atual. Os atacantes podem.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. FA- 50 todas as versões falham a autenticação para alguma configuração. Um atacante com acesso à rede interna do recipiente pode manipular a tela de configurações do produto para alterar alguns parâmetros de configuração.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. A extensão valida o HMAC de um link de edição de funcionários de front-end apenas na ação que renderiza o formulário de edição, não na ação que persiste na mudança. Um visitante não autenticado que conheça o UID de um registro visível de funcionários pode enviar um pedido POST direto para a ação de atualização e sobrescrever esse registro sem um link.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. A extensão permite que um parâmetro adicional de filtros fornecido por pedido registre um filtro de Hash do site nomeado antes de o próprio filtro de Hash do site do sistema ser aplicado, e o construtor de consulta não sobrescrever um filtro já registrado. Em um núcleo Solr compartilhado que serve múltiplos TYPO 3 sites, um visitante pode usar isso.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. O plug-in Verdure Core para WordPress é vulnerável à inclusão de arquivos locais em todas as versões até, e incluindo, 1.2. Isto torna possível que os atacantes não autenticados incluam e executem arquivos arbitrários no servidor, permitindo a execução de qualquer código PHP nesses arquivos. Isto pode ser usado para evitar controles de acesso, obter.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. Uma vulnerabilidade foi encontrada no liketrek TREK até 3.0.22. Impactado é o login da funçãoUser do servidor de arquivo/src/services/authService.ts do componente Pre- 2 Atendimento de mfa_ token FA. A manipulação resulta em autenticação inadequada. O ataque pode ser realizado a partir do controle remoto. Atualizar para a versão 3.1.0 é recomendado.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. Ech 0 antes 4.5.1 contém uma vulnerabilidade de contornação de autorização onde os tokens de sessão não validam o escopo no Middleware RequireScopes, permitindo que usuários não- administradores acessem os endpoints de administração. Os atacantes podem ler registros do sistema, estatísticas de visitantes, e- mails de usuário e assinar os registros.
Sumário da questão: A verificação baseada em senha da CMP do OpenSSL só verifica se o parâmetro ProtectionAlg não foi NULL e não o seu ASN. 1 digite, antes de o tratar como um PBMParameter. Uma mensagem criada pode conter um parâmetro de um tipo diferente, que é então desreferido como um ponteiro inválido.
Um usuário que pode ler um repositório remoto VCS existente pode substituir a sua origem configurada ou fornecer uma URL absoluta de dados VCS.
Existe uma condição de percurso de percurso autenticada na funcionalidade de exportação do PDF, especificamente dentro da lógica de resolução de imagens do PDF.
Nokogiri versões antes 1.16.5 pacote libxml 2 2.12.6, que é afetado pelo CVE- 2024 - 34459 em libxml 2 's ferramenta xmllint. Nokogiri 1.16.5 atualiza o pacote de libxml 2 para 2.12.7 para abordar isto. Por parte dos mantenedores, não há impacto nos usuários do Nokogiri porque o Nokogiri não fornece ou expõe a ferramenta xmllint onde o problema ocorre.
rclone antes 1.75.0 monta o manipulador de depuração do pprof como sua própria rota de router, evitando a regra de autenticação fechada por falha no manipulador principal. Os atacantes podem acessar o endpoint /debug/ pprof/cmdline não autentificado para recuperar o processo completo argv incluindo credenciais de backend.
O cliente de acesso privilegiado do Okta não rejeita um guião principal na porção de nome de usuário de um alvo SSH. Como resultado, o valor pode ser interpretado como uma opção de linha de comando pelo processo SSH subjacente.
NVIDIA NemoClaw for Linux contém uma vulnerabilidade em seus comandos de status e logs de plug- in, onde um atacante pode causar injeção de comandos do OS. Uma exploração bem sucedida desta vulnerabilidade pode levar à execução de código, manipulação de dados, divulgação de informações e negação de serviço.
Transbordo do buffer em V 8 no Google Chrome antes de 152.0.7977.65 Permitiu que um atacante remoto executasse código arbitrário dentro da caixa de areia através de uma página HTML criada. (Severidade de segurança do cromo: médio)