newsletter

CVE-2026-14754 Hotel Injeção SQL

A vulnerabilidade é uma injeção de SQL no arquivo /admin/add_room.php do sistema de gerenciamento de reservas de hotel. Ela pode ser explorada através da manipulação dos argumentos delete_image, edit, description, number, price, rooms ou type, permitindo a execução de comandos SQL mal-intencionados. Isso pode levar a consequências graves, como a extração ou modificação de dados sensíveis. A exploração pode ser feita de forma remota.

CVE-2026-14753 stumasy Bypass de Autorização

A vulnerabilidade é um bypass de autorização no componente Note Handler/Assignment Handler do stumasy. Ela pode ser explorada remotamente, manipulando o argumento assignment_item_id, permitindo que um atacante acesse recursos sem autorização. O impacto real é a possibilidade de acesso não autorizado a informações sensíveis. A exploração pode ser feita sem autenticação prévia.

CVE-2026-14750: Injeção SQL em stumasy

A vulnerabilidade é uma injeção SQL na função Notes_controller::accessing_dictionary_authorization do arquivo accessing_dictionary_authorization.php. Ela pode ser explorada através da manipulação do argumento Password, permitindo que um atacante remoto execute comandos SQL maliciosos. O impacto real é a possibilidade de acesso não autorizado a dados sensíveis. A falta de resposta do projeto pode aumentar o risco de exploração.

CVE-2026-14749 stumasy Injeção de Código

A vulnerabilidade é uma injeção de código que afeta a função eval no arquivo calculate.php. Ela pode ser explorada remotamente através da manipulação do argumento mathematical_sentence, permitindo a execução de código arbitrário. O impacto real é a possibilidade de um atacante executar código malicioso no servidor. A exploração é considerada de alta severidade devido à facilidade de execução.

CVE-2026-14747 - Real State Services - Injeção SQL

A vulnerabilidade é uma injeção SQL no arquivo addprojectsale.php, que pode ser explorada remotamente. Isso ocorre devido à manipulação do argumento amen, permitindo que um atacante execute comandos SQL mal-intencionados. O impacto real pode incluir a extração ou modificação de dados sensíveis. A falta de uma PoC ou exploit público conhecido pode dificultar a exploração.

CVE-2026-14746 - Real State Services - Injeção SQL

A vulnerabilidade é uma injeção SQL no arquivo addprojectrent.php, que pode ser explorada remotamente. Isso ocorre devido à manipulação do argumento amen, permitindo que um atacante execute comandos SQL mal-intencionados. O impacto real pode incluir a extração ou modificação de dados sensíveis. A exploração pode ser feita sem autenticação prévia.

CVE-2026-14745 Real State Services Injeção SQL

Uma vulnerabilidade de injeção de SQL foi identificada no arquivo single-list_rent.php do Real State Services 1.0. Ela pode ser explorada através da manipulação do argumento ID, permitindo que um atacante execute comandos SQL arbitrários. Isso pode levar a uma violação de dados sensíveis. A exploração pode ser feita de forma remota.

CVE-2026-14744 - Real State Services - Injeção SQL

A vulnerabilidade é uma injeção SQL em um arquivo PHP, que pode ser explorada remotamente. Isso ocorre devido a uma falha na manipulação do argumento loc no arquivo normalHomeRent.php. O impacto real pode incluir a extração ou modificação de dados sensíveis. A exploração pode ser feita sem autenticação prévia.

CVE-2026-14743 - Real State Services - Injeção SQL

A vulnerabilidade é uma injeção SQL na função desconhecida do arquivo normalHomeSale.php, que pode ser explorada por meio da manipulação do argumento loc. Isso pode permitir que um atacante remoto execute comandos SQL arbitrários, potencialmente levando a acessos não autorizados ou modificação de dados. O impacto real pode ser significativo, considerando a possibilidade de acesso remoto.

CVE-2026-14737 Hanwang e-Face Injeção SQL

A vulnerabilidade é uma injeção SQL na plataforma Hanwang e-Face General Management, que pode ser explorada através da manipulação da ordem dos argumentos em uma função desconhecida do arquivo /sysAuthStr/querySysAuthStr.do. Isso pode permitir que um atacante remoto execute comandos SQL arbitrários, potencialmente levando a acessos não autorizados ou modificação de dados. O impacto real depende do contexto de implantação e dos dados armazenados na plataforma.

CVE-2026-14736 Ruijie RG-UAC Upload

A vulnerabilidade permite o upload irrestrito de arquivos em Ruijie RG-UAC devido a uma falha na função user_auth_commit.php. Isso pode ser explorado remotamente, permitindo que atacantes carreguem arquivos maliciosos no sistema. O impacto real inclui a possibilidade de execução de código arbitrário no sistema afetado. A exploração pode ser feita sem autenticação prévia.

CVE-2026-14735 Smart Parking Injeção SQL

A vulnerabilidade é uma injeção de SQL no arquivo parkings.php, que pode ser explorada remotamente. Isso ocorre devido à manipulação do argumento street/city/status, permitindo que um atacante execute comandos SQL mal-intencionados. O impacto real pode incluir a extração ou modificação de dados sensíveis. A falta de uma PoC pública conhecida pode dificultar a exploração por atacantes menos experientes.

CVE-2026-14734: Injeção SQL em SourceCodester

A vulnerabilidade é uma injeção de SQL no arquivo edit_product.php do sistema SourceCodester Class and Exam Timetabling System 1.0. Ela pode ser explorada remotamente, permitindo que um atacante execute comandos SQL mal-intencionados. Isso pode levar a consequências graves, como a extração ou modificação de dados sensíveis. A exploração é considerada de alta severidade devido ao potencial de acesso não autorizado a dados.

CVE-2026-14733 - Injeção SQL

A vulnerabilidade afeta o sistema de gerenciamento de cursos e horários da SourceCodester, permitindo injeção de SQL através da manipulação do argumento ID no arquivo edit_coursea.php. Isso pode ser explorado remotamente, permitindo que um atacante execute comandos SQL mal-intencionados. O impacto real inclui a possibilidade de acessar ou modificar dados sensíveis no banco de dados.

CVE-2026-14732: Injeção SQL em SourceCodester

A vulnerabilidade é uma injeção de SQL que afeta o arquivo edit_exam.php, permitindo que um atacante remoto execute comandos SQL maliciosos. Isso pode levar a acessar ou modificar dados sensíveis. A exploração é possível devido à manipulação do argumento ID. O impacto real pode ser significativo, considerando a possibilidade de acesso não autorizado a dados.

CVE-2026-14722 TidGi-Desktop Injeção de Código

A vulnerabilidade encontrada no TidGi-Desktop permite a injeção de código, afetando a importação de repositórios Git. O ataque pode ser realizado de forma remota e resulta em code injection. A falta de uma PoC ou exploit público conhecido limita a exploração, mas a vulnerabilidade é considerada de alta severidade.

CVE-2026-14721 UTT HiPER 1250GW Estouro de Buffer

A vulnerabilidade é um estouro de buffer baseado em pilha que afeta o endpoint web do dispositivo UTT HiPER 1250GW. Ela pode ser explorada remotamente através da manipulação do argumento ssid no arquivo /goform/ConfigWirelessBase_5g. O impacto real é a possibilidade de execução remota de código, o que pode levar a comprometimento do dispositivo. A exploração é considerada de alta severidade devido à sua capacidade de ser realizada remotamente.

CVE-2026-14719: SourceCodester - Gerenciamento de Privilégios

A vulnerabilidade é uma falha no gerenciamento de privilégios no sistema de gerenciamento de exames e aprendizado online SourceCodester. Ela pode ser explorada através da manipulação do argumento 'role' na função de registro, permitindo que um atacante remoto obtenha privilégios indevidos. O impacto real é a possibilidade de um atacante obter acesso não autorizado a recursos do sistema.

CVE-2026-14713 Pizzafy Injeção SQL

A vulnerabilidade é uma injeção SQL no arquivo /admin/ajax.php?action=confirm_order do sistema Pizzafy E-Commerce. Ela pode ser explorada remotamente, permitindo que um atacante execute comandos SQL mal-intencionados. O impacto real inclui a possibilidade de acessar ou manipular dados sensíveis no banco de dados.

CVE-2026-14705 Online Examination SQL Injection

A vulnerabilidade é uma injeção de SQL no arquivo head.php do sistema Online Examination 1.0. Ela pode ser explorada através da manipulação dos argumentos uname e password, permitindo que um atacante execute comandos SQL mal-intencionados. Isso pode levar a consequências graves, como acesso não autorizado a dados sensíveis. A exploração pode ser feita de forma remota.

CVE-2026-14700 - Internship Management - Injeção SQL

A vulnerabilidade é uma injeção SQL no endpoint de login do empregador, permitindo que um atacante remoto execute comandos SQL mal-intencionados. Isso pode levar a acessar ou modificar dados sensíveis. A exploração é possível devido à manipulação dos argumentos de email e senha. O impacto real pode ser a obtenção de acesso não autorizado a dados confidenciais.

CVE-2026-14695 - Multi-Vendor - Injeção SQL

A vulnerabilidade afeta o sistema de gerenciamento de mercados online e permite a injeção de código SQL, permitindo que um atacante remoto execute comandos SQL mal-intencionados. Isso pode levar a acessar ou modificar dados sensíveis. A exploração é possível devido à falta de validação adequada dos dados de entrada no arquivo classes/Users.php. O impacto real pode incluir a extração de dados confidenciais ou a execução de ações mal-intencionadas no banco de dados.

CVE-2026-14690 - Multi-Vendor - Autorização

A vulnerabilidade é uma fraqueza na autorização do sistema de gerenciamento de supermercado online, que pode ser explorada remotamente. Isso ocorre devido a uma falha na função save_users do arquivo classes/Users.php, permitindo que um atacante obtenha acesso não autorizado. O impacto real pode ser a obtenção de acesso a dados sensíveis ou a capacidade de realizar ações não autorizadas no sistema.

CVE-2026-14688 - itsourcecode - Injeção SQL

A vulnerabilidade é uma injeção de SQL no arquivo login.php do sistema de gerenciamento de hotel online itsourcecode. Ela pode ser explorada através da manipulação do argumento email, permitindo que um atacante remoto execute comandos SQL mal-intencionados. Isso pode levar a consequências graves, como acesso não autorizado a dados sensíveis. A exploração é considerada de alta severidade devido ao potencial de danos.

CVE-2026-14654 Shopping Cart SQL Injection

A vulnerabilidade é uma injeção de SQL no arquivo /admin/girlsproductdeletequery.php do SourceCodester Simple and Nice Shopping Cart Script 1.0. Ela pode ser explorada remotamente, permitindo que um atacante execute comandos SQL mal-intencionados. O impacto real é a possibilidade de acessar ou manipular dados sensíveis no banco de dados. A exploração pode ser feita sem autenticação prévia.

CVE-2026-14653 Shopping Cart SQL Injection

A vulnerabilidade é uma injeção de SQL no arquivo /admin/mensproductdeletequery.php do Simple and Nice Shopping Cart Script 1.0. Ela pode ser explorada remotamente, permitindo que um atacante execute comandos SQL maliciosos. O impacto real é a possibilidade de acessar ou manipular dados sensíveis no banco de dados. A exploração pode ser feita sem autenticação.

CVE-2026-14652 Shopping Cart SQL Injection

A vulnerabilidade encontrada no SourceCodester Simple and Nice Shopping Cart Script 1.0 permite a injeção de SQL através da manipulação do argumento Username no arquivo /admin/login.php. Isso pode ser explorado remotamente, permitindo que um atacante execute comandos SQL mal-intencionados. O impacto real inclui a possibilidade de acessar ou modificar dados sensíveis no banco de dados. A exploração pode ser feita sem autenticação prévia.

CVE-2026-14649 - Online Voting System - Injeção SQL

A vulnerabilidade é uma injeção SQL no sistema de votação online, que pode ser explorada através da manipulação dos argumentos voterName, voterEmail, voterID e selectedCandidate na função test_input do arquivo saveVote.php. Isso pode permitir que um atacante remoto execute comandos SQL arbitrários, potencialmente levando a acessos não autorizados ou modificação de dados. O impacto real pode incluir a violação da integridade dos dados de votação e a possibilidade de manipulação dos resultados.

CVE-2026-14648 - Online Voting System - Injeção SQL

A vulnerabilidade é uma injeção SQL no componente de login do sistema de votação online, que pode ser explorada remotamente. Isso ocorre devido à manipulação do argumento adminUserName/adminPassword na função test_input do arquivo authentication.php. O impacto real é a possibilidade de acesso não autorizado ao banco de dados. A exploração pode ser feita sem autenticação prévia.

CVE-2026-14642: Injeção SQL em Class and Exam Timetabling System

A vulnerabilidade é uma injeção de SQL que afeta o arquivo /edit_class2.php do sistema Class and Exam Timetabling System 1.0. Ela pode ser explorada remotamente, permitindo que um atacante execute comandos SQL mal-intencionados. O impacto real pode incluir a extração ou modificação de dados sensíveis. A exploração é possível sem autenticação prévia.

CVE-2026-14641: Injeção SQL em Class and Exam Timetabling System

A vulnerabilidade é uma injeção de SQL no arquivo edit_course.php, que pode ser explorada remotamente através da manipulação do argumento ID. Isso pode permitir que um atacante execute comandos SQL arbitrários no banco de dados da aplicação. O impacto real pode incluir a extração ou modificação de dados sensíveis.

CVE-2026-14640 CodeAstro Injeção SQL

A vulnerabilidade encontrada no CodeAstro Apartment Visitor Management System 1.0 permite a injeção de SQL através da manipulação do argumento Username no arquivo /index.php. Isso pode ser explorado remotamente, permitindo que um atacante execute comandos SQL mal-intencionados. O impacto real inclui a possibilidade de acessar ou modificar dados sensíveis no banco de dados. A exploração pode ser feita sem autenticação prévia.

CVE-2026-14637 Ecommerce-CodeIgniter-Bootstrap Deserialização

A vulnerabilidade afeta a função getCartItems na biblioteca ShoppingCart.php, permitindo deserialização remota. Isso pode ser explorado para executar código arbitrário no servidor. O impacto real é alto, pois pode levar a comprometimento do sistema. A falha pode ser explorada sem autenticação.

CVE-2026-14635 Ecommerce-CodeIgniter-Bootstrap Traversal

A vulnerabilidade é uma falha de segurança no componente Vendor Multi-Image Endpoint do Ecommerce-CodeIgniter-Bootstrap, que permite a travessia de caminhos. Isso ocorre devido à manipulação do argumento folder no arquivo AddProduct.php. O impacto real é a possibilidade de acesso não autorizado a arquivos do sistema. A exploração pode ser feita de forma remota.

CVE-2026-14535: Trail of Bits - Bypass de segurança

A vulnerabilidade permite que imports de módulos não seguros sejam executados via pickle deserialization, pois o mecanismo de allowlist é inoperante devido a um problema de estado compartilhado entre análises. Isso pode levar à execução de código arbitrário. A falha pode ser explorada por meio da carga de payloads mal-intencionados. O impacto real é a possibilidade de execução remota de código.

CVE-2026-14534: Trail of Bits - Execução Remota

A vulnerabilidade afeta o Trail of Bits, permitindo a execução remota de código arbitrário devido à falta de modules _posixsubprocess, site e atexit na lista de imports negados. Isso pode ser explorado para executar comandos mal-intencionados no sistema afetado. O impacto real é a possibilidade de execução de código mal-intencionado, o que pode levar a comprometimento do sistema.

CVE-2026-14622 restaurant-website-php-mysql Autenticação

A vulnerabilidade encontrada no jairiidriss restaurant-website-php-mysql permite a falta de autenticação em um endpoint AJAX. Isso pode ser explorado por um atacante remoto, permitindo acesso não autorizado. O impacto real inclui a possibilidade de manipulação de dados ou ações não autorizadas. A falta de resposta do projeto sobre o problema aumenta o risco.

CVE-2026-54424 Unity Parsec Uso Incorreto de APIs

A vulnerabilidade é causada pelo uso incorreto de APIs privilegiadas no Unity Parsec em hosts Windows, permitindo uma elevação de privilégios. Isso pode ser explorado por um usuário para executar ações com privilégios de sistema. O impacto real é a possibilidade de um atacante executar comandos com privilégios elevados.

CVE-2026-12252 nltk RCE

A vulnerabilidade permite a execução de código arbitrário em JARs não confiáveis devido à falta de verificação de integridade nas classes de interface do Stanford. Isso pode ser explorado quando carregando arquivos JAR mal-intencionados, resultando em execução de código remoto. O impacto real é a possibilidade de execução de código mal-intencionado no sistema afetado.

CVE-2025-71380 n8n RCE

A vulnerabilidade permite que usuários autenticados executem comandos arbitrários no sistema hospedeiro onde o n8n é executado. Isso pode ser explorado por atacantes com acesso de usuário ou credenciais comprometidas para executar comandos maliciosos, potencialmente levando à exfiltração de dados, interrupção de serviços ou comprometimento completo do sistema. A falta de uma PoC ou exploit público conhecido não diminui o risco, pois a exploração pode ser feita por meio de técnicas de engenharia social ou outros métodos. O impacto real pode variar de acordo com o nível de acesso do atacante e as medidas de segurança implementadas.

CVE-2025-71375 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan, permitindo que atacantes criem payloads maliciosos em arquivos pickle que evadem a detecção e executam código arbitrário quando carregados. Isso ocorre devido à falha em detectar a função _operator.methodcaller. O impacto real é a execução remota de código, o que pode levar a consequências graves. A exploração pode ser feita enviando arquivos pickle maliciosos para sistemas que utilizam a biblioteca picklescan.

CVE-2025-71373 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan, permitindo que atacantes remotos criem payloads maliciosos em arquivos pickle que executam código arbitrário quando carregados. Isso ocorre devido à falha da picklescan em detectar chamadas de função operator.methodcaller. O impacto real é a execução de código remoto, comprometendo sistemas que confiam na picklescan para validação.

CVE-2025-71372 Picklescan RCE

A vulnerabilidade afeta a biblioteca Picklescan, permitindo a execução de código arbitrário em Python. Isso ocorre devido à falha em detectar o gadget numpy.f2py.crackfortran.getlincoef em métodos __reduce__ de pickle. Atacantes podem criar arquivos pickle maliciosos que executam código Python arbitrário quando carregados, contornando as verificações de segurança do Picklescan. O impacto real é a possibilidade de envenenamento de cadeia de suprimentos de arquivos de modelo compartilhados.

CVE-2025-71369 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan antes da versão 0.0.28, permitindo que atacantes remotos bypasssem verificações de segurança e executem código malicioso durante a desserialização de arquivos pickle. Isso ocorre devido à falha em detectar arquivos pickle maliciosos que utilizam torch.utils.data.datapipes.utils.decoder.basichandlers em métodos de redução. O impacto real é a execução remota de código, permitindo que atacantes executem ações maliciosas no sistema afetado.

CVE-2025-71367 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan, permitindo que atacantes remotos criem arquivos pickle maliciosos para executar código arbitrário. Isso ocorre devido à falha em detectar chamadas de função _operator.attrgetter em payloads pickle. O impacto real é a execução de código arbitrário, o que pode levar a comprometimento total do sistema.

CVE-2025-71366 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan, permitindo que atacantes remotos injetem código malicioso em arquivos pickle, possibilitando a execução arbitrária de código quando as vítimas carregam esses arquivos. Isso ocorre devido à falha da picklescan em detectar chamadas maliciosas da função torch.utils.bottleneck.__main__.run_cprofile. O impacto real é a possibilidade de execução de código arbitrário no sistema da vítima.

CVE-2025-71364 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan antes da versão 0.0.30, permitindo a execução de código remoto devido à falha em detectar a função asyncio.unix_events._UnixSubprocessTransport._start em métodos de redução de pickle. Isso permite que atacantes criem arquivos pickle maliciosos que evitam a detecção, mas executam comandos arbitrários quando carregados. O impacto real é a possibilidade de execução de código remoto, o que pode levar a comprometimento total do sistema.

CVE-2025-71362 picklescan Deserialização Insegura

A vulnerabilidade ocorre devido à falha do picklescan em detectar deserialização insegura quando funções numpy.f2py.crackfortran chamam eval em strings arbitrárias. Isso permite que atacantes embedam código malicioso em arquivos pickle que são executados ao serem carregados de fontes não confiáveis. O impacto real pode ser a execução de código arbitrário. A falta de uma PoC ou exploit público dificulta a exploração.

CVE-2025-71360 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan antes da versão 0.0.29, permitindo que atacantes criem arquivos pickle maliciosos que executam comandos remotos quando carregados por vítimas. Isso ocorre devido à falha em detectar funções maliciosas no método reduce. O impacto real é a execução de código remoto não autorizado.

CVE-2025-71359 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan, permitindo a execução remota de código malicioso através de payloads pickle mal-intencionados. Isso ocorre devido à falha em detectar cargas maliciosas que utilizam lib2to3.pgen2.grammar.Grammar.loads no método reduce. O impacto real é a possibilidade de execução de código arbitrário durante a desserialização de objetos pickle.

CVE-2025-71356 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan, permitindo que atacantes embedam código malicioso em arquivos pickle que pode ser executado remotamente quando carregado por vítimas. Isso ocorre devido à falha em detectar chamadas maliciosas da função torch.fx.experimental.symbolic_shapes.ShapeEnv.evaluate_guards_expression. O impacto real é a execução remota de código, o que pode levar a comprometimento total do sistema.

CVE-2025-71353 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan, permitindo que atacantes criem arquivos pickle maliciosos que evadem a detecção e executem comandos arbitrários quando carregados. Isso ocorre devido à falha em detectar a exploração da função torch._dynamo.guards.GuardBuilder.get em métodos de redução. O impacto real é a execução de código arbitrário no sistema afetado.

CVE-2025-71347 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan, permitindo que atacantes remotos bypassiem verificações de segurança e executem código arbitrário em aplicações que carregam dados pickle não confiáveis. Isso ocorre devido à falha em detectar arquivos pickle maliciosos que utilizam a função numpy.f2py.crackfortran.param_eval em métodos de redução. O impacto real é a execução de código arbitrário em sistemas que utilizam a biblioteca picklescan para processar dados pickle não confiáveis.

CVE-2025-71345 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan antes da versão 0.0.30, permitindo que arquivos pickle maliciosos invoquem a função torch.utils.bottleneck.__main__.run_autograd_prof sem serem detectados. Isso pode permitir a execução de código remoto durante a desserialização. A falha pode ser explorada por meio da criação de arquivos pickle maliciosos que contenham código que será executado durante a desserialização.

CVE-2025-71343 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan antes da versão 0.0.30, permitindo que arquivos pickle maliciosos sejam processados sem detecção. Isso ocorre devido à falha na detecção de exploits da função make_label em lib2to3.pgen2.pgen.ParserGenerator. Um atacante pode criar arquivos pickle com código malicioso embutido que evita a detecção, mas executa comandos arbitrários quando pickle.load() é chamado. O impacto real é a execução de código arbitrário, o que pode levar a comprometimento total do sistema.

CVE-2025-71342 picklescan RCE

A vulnerabilidade afeta a biblioteca picklescan antes da versão 0.0.30, permitindo que atacantes embedam código malicioso em arquivos pickle que podem ser executados durante a carga do pickle, possibilitando a execução remota de código em modelos PyTorch e ataques de suprimento de cadeia. Isso ocorre devido à falha em detectar arquivos pickle maliciosos que utilizam o método reduce de idlelib.run.Executive.runcode. O impacto real é a possibilidade de execução remota de código, o que pode levar a consequências graves.

CVE-2026-58426 Gitea Actions V4

A vulnerabilidade permite a leitura de artefatos de repositórios cruzados e a escrita de estado de upload de tarefas. Isso ocorre devido à ambiguidade na assinatura de URL HMAC. Um atacante pode explorar essa falha para acessar dados sensíveis ou realizar ações não autorizadas. O impacto real inclui a violação da confidencialidade e integridade dos dados.

CVE-2026-58424 Bypass de aprovação

A vulnerabilidade permite bypassar o gate de aprovação de workflow de fork permanente, permitindo que um atacante execute ações não autorizadas. Isso pode ser explorado por meio de uma solicitação maliciosa, permitindo que o atacante contorne os mecanismos de segurança. O impacto real é a possibilidade de execução de ações não autorizadas, o que pode levar a consequências graves.

CVE-2026-58423 LFS Bypass Autenticação

A vulnerabilidade permite bypass de autenticação via SSH sub-verb malformado, permitindo acesso não autorizado a repositórios privados. Isso pode ser explorado por um atacante para obter acesso a dados confidenciais. O impacto real é a perda de confidencialidade dos dados armazenados nos repositórios afetados.

CVE-2026-58299 Microsoft Edge Android ToCToU

A vulnerabilidade é uma condição de corrida do tipo time-of-check time-of-use (ToCToU) no Microsoft Edge para Android, que permite a um atacante não autorizado executar código sobre uma rede. Isso ocorre devido a uma falha na sincronização entre a verificação e a utilização de recursos, permitindo que um atacante explore essa janela de tempo para executar ações maliciosas. O impacto real é a possibilidade de execução remota de código, o que pode levar a consequências graves, como roubo de dados ou controle do dispositivo.

CVE-2026-58298 Edge XSS

A vulnerabilidade é causada pela neutralização inadequada de entrada durante a geração de páginas web, permitindo que um atacante não autorizado execute spoofing sobre uma rede. Isso pode ser explorado por meio de um ataque de cross-site scripting, permitindo que o atacante injete código malicioso em páginas web. O impacto real é a possibilidade de um atacante realizar ações não autorizadas em nome da vítima.

CVE-2026-58297 Microsoft Edge Android exposição

A vulnerabilidade permite a exposição de informações pessoais privadas a atores não autorizados no Microsoft Edge para Android. Isso pode ser explorado por um atacante não autorizado para divulgar informações sobre uma rede. O impacto real é a perda de confidencialidade de dados sensíveis. A exploração pode ser feita sem necessidade de interação do usuário.

CVE-2026-58296 Microsoft Edge Android exposição de informações

A vulnerabilidade permite a exposição de informações pessoais privadas a atores não autorizados no Microsoft Edge para Android. Isso pode ser explorado por um atacante não autorizado para divulgar informações sobre uma rede. A falha pode ser usada para obter acesso a dados sensíveis, como informações de login ou histórico de navegação. O impacto real é a perda de privacidade e confidencialidade dos dados.

CVE-2026-58295 Microsoft Edge Confusão de Tipo

A vulnerabilidade permite que um atacante não autorizado bypassie uma funcionalidade de segurança utilizando um recurso com um tipo incompatível. Isso pode ser explorado por meio de uma rede, permitindo que o atacante execute ações maliciosas. O impacto real pode incluir a execução de código arbitrário ou a obtenção de acesso não autorizado. A falta de uma PoC ou exploit público conhecido limita a capacidade de exploração.

CVE-2026-58294 Edge Uso após liberação

A vulnerabilidade é um uso após liberação em Microsoft Edge, que permite a um atacante não autorizado executar código sobre uma rede. Isso ocorre quando o navegador tenta acessar memória que já foi liberada, permitindo que o atacante execute código arbitrário. O impacto real é a execução remota de código, o que pode levar a comprometimento do sistema.

CVE-2026-58293 Microsoft Edge RCE

A vulnerabilidade permite que um atacante não autorizado execute código em um sistema afetado por meio do controle externo de nome ou caminho de arquivo no Microsoft Edge baseado em Chromium. Isso pode ser explorado por meio de uma rede, permitindo que o atacante execute código malicioso. O impacto real é a execução de código arbitrário no sistema afetado, o que pode levar a consequências graves, como acesso não autorizado e controle do sistema.

CVE-2026-58292 Microsoft Edge RCE

A vulnerabilidade é causada por uma falha de validação de entrada no Microsoft Edge baseado em Chromium, permitindo que um atacante não autorizado execute código sobre uma rede. Isso pode ser explorado por meio de um ataque de rede, sem necessidade de interação do usuário. O impacto real é a execução de código arbitrário no sistema afetado.

CVE-2026-58290 Microsoft Edge Confusão de Tipo

A vulnerabilidade permite que um atacante não autorizado execute código sobre uma rede devido a um acesso de recurso utilizando um tipo incompatível. Isso pode ser explorado para executar código arbitrário no contexto do navegador. O impacto real é a possibilidade de execução remota de código, o que pode levar a comprometimento do sistema. A falta de uma PoC ou exploit público conhecido limita a capacidade de exploração.

CVE-2026-58289 Edge: Confusão de Tipo

A vulnerabilidade permite que um atacante não autorizado execute código sobre uma rede devido a um acesso de recurso utilizando um tipo incompatível. Isso pode ser explorado para executar código arbitrário no Microsoft Edge baseado em Chromium. O impacto real é a execução remota de código, o que pode levar a comprometimento total do sistema. A exploração requer conhecimento específico do mecanismo de tipo do navegador.

CVE-2026-58288 Edge Uso após liberação

A vulnerabilidade é um uso após liberação no Microsoft Edge baseado em Chromium, permitindo que um atacante não autorizado execute código sobre uma rede. Isso ocorre quando o navegador tenta acessar memória que já foi liberada, o que pode ser explorado para executar código malicioso. O impacto real é a possibilidade de execução remota de código, o que pode levar a comprometimento do sistema.

CVE-2026-58287 Edge Uso após liberação

A vulnerabilidade é um uso após liberação em Microsoft Edge, que permite a um atacante não autorizado executar código sobre uma rede. Isso ocorre quando o navegador tenta acessar memória que já foi liberada, permitindo que o atacante execute código arbitrário. O impacto real é a execução remota de código, o que pode levar a comprometer a segurança do sistema.

CVE-2026-58286 Microsoft Edge Controle de Acesso

A vulnerabilidade é causada por um controle de acesso inadequado no Microsoft Edge, permitindo que um atacante não autorizado realize spoofing em uma rede. Isso pode ser explorado para enganar usuários ou sistemas, levando a consequências como perda de confidencialidade ou integridade de dados. O impacto real depende do contexto em que o Microsoft Edge é utilizado.

CVE-2026-58285 Edge Type Confusion

A vulnerabilidade permite que um atacante não autorizado execute código em um sistema afetado, explorando uma falha de 'type confusion' no Microsoft Edge baseado em Chromium. Isso pode ser feito por meio de uma rede, sem necessidade de interação direta com o sistema. O impacto real é a execução de código arbitrário, o que pode levar a comprometimento total do sistema.

CVE-2026-58284 Microsoft Edge - Autorização Improper

A vulnerabilidade é causada por uma autorização imprópria no Microsoft Edge, permitindo que um atacante não autorizado execute código sobre uma rede. Isso pode ser explorado por meio de uma conexão de rede, permitindo que o atacante execute código malicioso. O impacto real é a execução de código remoto, o que pode levar a consequências graves, como roubo de dados ou controle do sistema.

CVE-2026-58283 Edge - Confusão de Tipo

A vulnerabilidade permite que um atacante não autorizado execute spoofing em uma rede devido a um acesso de recurso utilizando um tipo incompatível. Isso pode ser explorado para enganar usuários ou sistemas, levando a consequências de segurança. O impacto real inclui a possibilidade de ataques de spoofing, que podem comprometer a integridade e confiabilidade da rede. A falta de uma PoC ou exploit público conhecido limita a capacidade de exploração.

CVE-2026-58282 Microsoft Edge Spoofing

A vulnerabilidade é causada por controle de acesso inadequado no Microsoft Edge, permitindo que um atacante não autorizado realize spoofing em uma rede. Isso pode ser explorado para enganar usuários ou sistemas, levando a consequências como perda de confidencialidade ou integridade de dados. O impacto real depende do contexto em que o ataque é realizado.

CVE-2026-58276 Edge Uso após liberação

A vulnerabilidade é um uso após liberação em Microsoft Edge, que permite a um atacante não autorizado executar código sobre uma rede. Isso ocorre quando o navegador tenta acessar memória que já foi liberada, permitindo que o atacante execute código arbitrário. O impacto real é a execução remota de código, o que pode levar a comprometimento do sistema. A exploração dessa vulnerabilidade pode ser feita por meio de um ataque de rede.

CVE-2026-57993 Microsoft Edge SSRF

A vulnerabilidade de SSRF no Microsoft Edge permite que um atacante não autorizado realize spoofing em uma rede. Isso ocorre devido a uma falha no processamento de requisições, permitindo que o atacante force o servidor a realizar requisições indesejadas. O impacto real é a possibilidade de um atacante realizar ações maliciosas em nome do servidor, podendo levar a consequências graves. A exploração dessa vulnerabilidade pode ser feita por meio de requisições maliciosas.

CVE-2026-57992 Edge Uso após liberação

A vulnerabilidade é um uso após liberação em Microsoft Edge, que permite a um atacante não autorizado executar código sobre uma rede. Isso ocorre quando o navegador tenta acessar memória que já foi liberada, permitindo que o atacante execute código arbitrário. O impacto real é a execução remota de código, o que pode levar a comprometimento do sistema. A exploração dessa vulnerabilidade pode ser feita sem autenticação.

CVE-2026-57991 Microsoft Edge Link Following

A vulnerabilidade ocorre devido à resolução inadequada de links antes do acesso a arquivos no Microsoft Edge baseado em Chromium, permitindo que um atacante não autorizado divulgue informações sobre a rede. Isso pode ser explorado para obter acesso não autorizado a informações sensíveis. O impacto real inclui a possibilidade de um atacante obter informações confidenciais sem permissão. A exploração dessa vulnerabilidade pode ser feita por meio de técnicas de engenharia social ou outros métodos para direcionar vítimas a links maliciosos.

CVE-2026-57988 Microsoft Edge Traversal

A vulnerabilidade permite a um atacante não autorizado executar código sobre uma rede através de uma traversal de caminho relativo no Microsoft Edge baseado em Chromium. Isso pode ser explorado para executar código malicioso no sistema afetado. O impacto real é a possibilidade de execução remota de código, o que pode levar a comprometimento do sistema.

CVE-2026-57986 Edge Uso após liberação

A vulnerabilidade é um uso após liberação em Microsoft Edge, que permite a um atacante não autorizado executar código sobre uma rede. Isso ocorre quando o navegador tenta acessar memória que já foi liberada, permitindo que o atacante execute código arbitrário. O impacto real é a execução remota de código, o que pode levar a comprometer a segurança do sistema.

CVE-2026-57985 Microsoft Edge RCE

A vulnerabilidade é causada por uma validação de entrada inadequada no Microsoft Edge, permitindo que um atacante não autorizado execute código sobre uma rede. Isso pode ser explorado para executar código malicioso no sistema afetado. O impacto real é a execução remota de código, o que pode levar a comprometimento total do sistema.

CVE-2026-57984 Edge Uso após liberação

A vulnerabilidade é um uso após liberação em Microsoft Edge, que permite a um atacante não autorizado executar código sobre uma rede. Isso ocorre quando o navegador tenta acessar memória que já foi liberada, permitindo que o atacante injete código malicioso. O impacto real é a execução remota de código, o que pode levar a comprometimento do sistema. A exploração dessa vulnerabilidade pode ser feita sem autenticação prévia.

CVE-2026-57983 Microsoft Edge - Autorização Improper

A vulnerabilidade é causada por uma autorização imprópria no Microsoft Edge, permitindo que um atacante não autorizado bypassie uma funcionalidade de segurança sobre uma rede. Isso pode permitir que o atacante acesse informações confidenciais ou execute ações não autorizadas. O impacto real depende do contexto em que o Microsoft Edge está sendo utilizado.

CVE-2026-57981 Edge Uso após liberação

A vulnerabilidade é um uso após liberação no Microsoft Edge baseado em Chromium, permitindo que um atacante não autorizado execute código sobre uma rede. Isso ocorre quando o navegador tenta acessar memória que já foi liberada, o que pode ser explorado para executar código malicioso. O impacto real é a execução remota de código, o que pode levar a comprometimento do sistema.

CVE-2026-57977 Edge XSS

A vulnerabilidade é causada pela neutralização inadequada de entrada durante a geração de páginas web, permitindo que um atacante não autorizado execute ataques de spoofing sobre uma rede. Isso pode ser explorado por meio de técnicas de cross-site scripting. O impacto real é a capacidade do atacante de enganar os usuários, fazendo com que eles acreditem que estão interagindo com um site legítimo.

CVE-2026-57975 Microsoft Edge Confusão de Tipo

A vulnerabilidade permite que um atacante não autorizado execute código sobre uma rede devido a um acesso de recurso utilizando um tipo incompatível. Isso pode ser explorado para executar código arbitrário no navegador Microsoft Edge baseado em Chromium. O impacto real é a execução remota de código, o que pode levar a comprometimento do sistema. A exploração requer conhecimento específico do mecanismo de tipo do navegador.

CVE-2026-57974 Microsoft Edge Estouro de Inteiro

A vulnerabilidade é um estouro de inteiro ou wraparound no Microsoft Edge baseado em Chromium, que permite a um atacante não autorizado executar código sobre uma rede. Isso pode ser explorado por meio de um ataque de rede, permitindo que o atacante execute código arbitrário no sistema afetado. O impacto real é a execução remota de código, o que pode levar a comprometimento total do sistema.

CVE-2026-56645 Microsoft Edge Estouro de Buffer

A vulnerabilidade é um estouro de buffer baseado em heap no Microsoft Edge, que permite a um atacante não autorizado executar código sobre uma rede. Isso pode ser explorado por meio de um ataque de rede, permitindo que o atacante execute código arbitrário no sistema afetado. O impacto real é a possibilidade de execução remota de código, o que pode levar a comprometimento total do sistema.

CVE-2026-28744 Gitea Bypass

A vulnerabilidade permite que requisições HTTP inteligentes do Git autenticadas com tokens de portador bypassam as verificações de escopo de token do repositório. Isso pode permitir que um atacante acesse repositórios sem as devidas permissões. O impacto real é a possibilidade de acesso não autorizado a repositórios. A exploração requer conhecimento do token de portador.

CVE-2026-28740 Gitea - Reutilização de objetos Git LFS

A vulnerabilidade permite que usuários com acesso ao repositório, mas sem acesso à unidade de código, acessem objetos de fonte privados. Isso ocorre devido à reutilização de objetos Git LFS, que pode ser explorada por usuários mal-intencionados para acessar informações confidenciais. O impacto real é a violação da privacidade e confidencialidade dos dados armazenados no repositório.

CVE-2026-28737 Gitea XSS

A vulnerabilidade permite a execução de scripts maliciosos armazenados no campo extensionsRequired de arquivos glTF, que são renderizados pelo visualizador de arquivos 3D. Isso pode ser explorado por um atacante para executar código JavaScript malicioso no navegador da vítima. O impacto real é a possibilidade de roubo de sessões ou execução de ações não autorizadas.

CVE-2026-28699 Gitea Bypass OAuth2

A vulnerabilidade permite que um atacante bypassa a política de escopo de token de acesso OAuth2 utilizando autenticação HTTP Basic. Isso pode permitir que um atacante acesse recursos não autorizados. O impacto real é a perda de controle de acesso e possíveis vazamentos de dados. A exploração é possível devido à falta de validação adequada da política de escopo.

CVE-2026-27771 Gitea - Insuficiência de permissões

A vulnerabilidade afeta as versões do Gitea até 1.26.1, permitindo que links de fontes de pacotes Composer sejam expostos devido a verificações de permissão insuficientes. Isso pode levar à exposição de informações de fontes de pacotes privadas ou internas. A exploração pode ser feita por meio de um PoC disponível publicamente. O impacto real inclui a possibilidade de acesso não autorizado a informações confidenciais.

CVE-2026-26231 Gitea - Edição indevida

A vulnerabilidade permite que usuários com permissão de edição de manutenção realizem commits em repositórios que não deveriam ter permissão de escrita. Isso pode ser explorado por meio do caminho de permissão 'Allow edits from maintainers'. O impacto real é a possibilidade de alteração indevida de código em repositórios, o que pode levar a problemas de segurança e integridade dos dados.

CVE-2026-22874 Gitea SSRF

A vulnerabilidade é devido à proteção incompleta contra SSRF em webhooks e filtros de lista de permissões de migração. Isso pode permitir que um atacante execute requisições HTTP maliciosas. O impacto real pode ser a obtenção de informações confidenciais ou a execução de ações não autorizadas. A falta de uma PoC pública dificulta a exploração.

CVE-2026-22555 Gitea Fork

A vulnerabilidade permite que usuários da API criem um fork de um repositório em uma organização sem passar pela verificação CanCreateOrgRepo, o que pode expor segredos da organização. Isso pode ser explorado por usuários mal-intencionados para obter acesso a informações confidenciais. O impacto real é a exposição de segredos da organização.

CVE-2026-20896 Gitea - Autenticação

A vulnerabilidade permite que qualquer fonte IP se faça passar por um usuário quando os cabeçalhos de autenticação de proxy reverso estão habilitados. Isso ocorre devido ao uso de REVERSE_PROXY_TRUSTED_PROXIES=* por padrão nas imagens Docker do Gitea até a versão 1.26.2. O impacto real é a possibilidade de um atacante se autenticar como qualquer usuário, sem necessidade de credenciais. A exploração pode ser feita por meio da manipulação dos cabeçalhos de autenticação.

CVE-2026-20779 Gitea TOTP

A vulnerabilidade permite que um código TOTP válido seja aceito mais de uma vez em fluxos de autenticação de dois fatores na web e no caminho de autenticação básica X-Gitea-OTP. Isso pode ser explorado por um atacante para contornar a autenticação de dois fatores. O impacto real é a possibilidade de acesso não autorizado a contas de usuário.