Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 30 de julho de 2026. Data::Manipular versões através 6.99 para Perl, devolver datas corrompidas através de dígitos decimais não- ASCII que passam os testes numéricos de intervalo em cheque.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. O apiserver do Calico envolve recursos de nível- game para que cada operação seja executada através de AutorizeTierOperation, mas a opção Excluir na Política de Rede, GlobalNetworkPolicy, e suas variantes em fase não é invocada para a solicitação ExcluirColeção. Um usuário que mantenha o verbo deletecollection ou os verbos comodões nos recursos de.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. Reprodução arbitrária do marcador do Wiki devido à falta de autenticação no Apache JSPWiki até 2.12.3 permite ao atacante obter dados sensíveis armazenados nas variáveis JSPWiki. Os usuários são recomendados para atualizar para a versão 2.12.4 ou 3.0.0, que corrige este problema.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. SQLite 3.41 é vulnerável a ser usado depois de livre na função jsonArrayLengthFunc.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. O SGLang contém um RCE não autenticado em /load_lora_adapter_from_tensors via oviendo a lista de negação incompleta do SafeUnpicker, permitindo a execução arbitrária de comandos através de base criada 64 -cargas úteis codificadas de picles.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. O plugin FuseWP para WordPress é vulnerável ao falsificado de solicitação cruzado em todas as versões até, e incluindo, 1.1.24.2. Isto se deve à falta de verificação de nonce na função toggle_sync_status(). Isto torna possível que atacantes não autênticos comutam o status das regras de sincronização (ativar/ desativar) através de um pedido.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. Gerenciador de Aplicações de Automação de Sistemas Tivoli IBM 4.1 e o IBM WebSphere Application Server é afetado pelo scripting cruzado no Console Administrativo.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. Vender através 3.7.1, corrigido em commit f 67 ef 5 f, contém uma vulnerabilidade de contornação de autorização de canais cruzados em stock-location.service.ts e métodos de atualização assets.service.ts que permite aos administradores de canales a modificar os dados de outros inquilinos. Os atacantes podem fornecer IDs globais de entidades.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. Vulnerabilidade da injeção LDAP no Apache Zeppelin. ActiveDirectoryGroupRealm construiu filtros de pesquisa LDAP sem escapar da entrada controlada pelo usuário, permitindo que um atacante autenticado injete sintaxe de filtro LDAP através do endpoint de busca do usuário e potencialmente expor informações de diretório. O caminho de busca de papel também.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. Tempo de pensão 3.6.2 contém uma vulnerabilidade aberta de redirecionamento no controlador de Login que permite que os atacantes não autênticos redirecionem usuários autenticados para sites externos arbitrários manipulando o parâmetro redirecionamentoUrl POST. Os atacantes podem criar um URL de login malicioso com um valor de redirecionamento url.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. IBM Db 2 11.5.0 através 11.5.9, e 12.1.0 através 12.1.4 é vulnerável ao sobrecarga de buffer no ajudante de setgid db 2 Flacc.
Este conteúdo foi publicado originalmente em 30 de julho de 2026. Sistema de gestão de tatuagens SourceCodester 1.0 é vulnerável à injeção SQL no addmeasurement.php?id= 1.
Este conteúdo foi publicado originalmente em 31 de julho de 2026. Uma correção incompleta para CVE- 2026 - 15352 no aplicativo de Saúde e Segurança (HS) do sistema de voo central da NASA (cFS) deixa um desreferência de ponteiro NULL separada acessível nas versões através 7.0.1. Um atacante que pode desencadear o comando afetado em condições específicas pode causar o colapso do aplicativo HS, resultando em uma.
Este conteúdo foi publicado originalmente em 31 de julho de 2026. Uma falha foi encontrada em um portal, um componente do Ansible de Automação Ansible (EDA) da Plataforma de Automação de Eventos. Um atacante remoto não autenticado pode evitar a autenticação mútua de Segurança de Camada de Transporte (mTLS) para fluxos de eventos. Isso é conseguido manipulando o URL do fluxo de eventos e forjando o cabeçalho do.
Este conteúdo foi publicado originalmente em 31 de julho de 2026. # HMAC validation bypass via múltiplos chamados `.replace()` ao remover a assinatura de URL
Este conteúdo foi publicado originalmente em 31 de julho de 2026. A configuração MASTER_PASSWORD_HOOK, introduzida no pgAdmin 4 7.2, permite que um administrador configure um comando externo que retorna uma chave de criptografia por usuário, com%u na cadeia configurada substituído pelo nome do usuário atual. A implementação anterior substituiu o nome de usuário diretamente na string de comandos e executou o.
Este conteúdo foi publicado originalmente em 31 de julho de 2026. A configuração `ALLOWED_SOURCES` é destinada a restringir quais hosts o carregador HTTP do Thumbor podem obter imagens. Os itens de string simples nessa lista (a maioria esmagadora das configurações do mundo real e documentadas) são passados diretamente para ` re. match()` sem escapar. Como `.` é um comodinho de regex, cada ponto de um nome de domínio.
Este conteúdo foi publicado originalmente em 31 de julho de 2026. TR 1200 v 2.4.15, TR 3000 v 2.4.21, WR 300 v 2.4.25, WR 1200 v 2.4.23, WR 1300 v 2.4.22, WR 1500 v 2.3.10, WR 3000 v 2.4.19, WR 3600 v 2.3.16, e WR 6500 v 2.3.15 foram descobertos para conter uma vulnerabilidade de injeção de comandos na interface system.setclock. Esta vulnerabilidade permite aos atacantes executar comandos arbitrários como root.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. Um Forgery de solicitação lateral ao servidor (SSRF) no componente xxl-job-admin/jobinfo/trigger do xxl-job v 3.4.0 permite que os atacantes autenticados escaneem recursos através do fornecimento de um pedido HTTP criado.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. O Autor: Fácil login com o plug-in WordPress do número móvel antes 1.7.7 não mantém o seu código de login de uma vez confidencial, retornando o código e um token de verificação válido na resposta de uma ação não autenticada, permitindo que os atacantes não autenticados façam login como qualquer usuário cujo número móvel registrado eles conhecem.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. O plug-in de WordPress para os campos ACF 0.3.2 não escapa aos valores dos Campos Personalizados Avançados antes de os extrair nas colunas da tabela de listas do administrador WordPress, permitindo que os usuários com acesso ao nível do colaborador ou acima armazenarem uma carga útil que executa como JavaScript na sessão de usuários privilegiados que.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. O plug-in WordPress do Construtor de Páginas Sem Código através 1.1.4 não saneia ou valida um atributo de shortcode antes de usá- lo como nome de etiqueta HTML ao renderizar conteúdo, permitindo aos usuários com acesso ao nível do contribuinte e acima injetar HTML e JavaScript arbitrários que executam na sessão de qualquer usuário privilegiado (como.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. O plugin Pronamic Pay para WordPress é vulnerável à Escalação Privilege em todas as versões até, incluindo, 10.1.0 Isto se deve à função `talvez_update_user_role()` passando por um valor de campo de Formas Gravidade controlado pelo atacante (`$lead[$feed->user_role_field_id]`) diretamente para `WP_User::set_role()` sem validação de lista de.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. FreeRDP antes 3.29.0 (versão afetada <= 3.28.0 ) contém uma vulnerabilidade divisão por zero no cliente de redirecionamento da câmera rdpecam. ecam_dev_process_start_streams_request() analisa um servidor controlado por CAM_MEDIA_ TYPE_ DESCRIPTION a partir de um PDU de StartStreamsRequest mas valida apenas Formato e Flags, não FrameRateDenominator.