Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. A deserialização de dados não confiados no Bus de Serviço Azure permite que um atacante autorizado execute código em uma rede.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. O plug-in TrueBooker – Reserva de nomeações e Sistema de Planificação para WordPress é vulnerável a tomada de conta através de validação de reset de senha inadequada em todas as versões até, e incluindo, 1.2.3. Isto se deve ao plugin não validar corretamente a identidade de um usuário antes de recolocar sua senha. Isto torna possível que os atacantes.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. O plugin WordPress da API MStore antes 4.21.0 não realiza verificações de autorização ou propriedade de compra na sua rota de criação de revisão de produtos REST, permitindo que um atacante não autêntico crie revisões de produtos WooCommerce com um nome de revisor, e- mail e classificação de estrelas do atacante nas lojas configuradas para aceitar.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Extensão Joomla - phoca.cz - Caminho Vulnerabilidade traversal no Comandante de Foca 1.0.0 - 6.1.3 - Limitação inadequada dos caminhos no carregamento do arquivo leva a um caminho de vulnerabilidade transversal.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Tobit Laboratories AG TeamDavid's Webbox apppoint. O endpoint.// serverClient_close.html.. é vulnerável a uma vulnerabilidade de sobrecarga de buffer em vários parâmetros de dados de formulário. Ao enviar valores excessivamente longos nestes parâmetros, um atacante autenticado pode desencadear um acidente de servidor, resultando em negação de serviço.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Tesouro (Fanwei) E- cologia 9.0 versões anteriores 10.52 conter uma vulnerabilidade de upload de arquivos que permite que um atacante remoto e não autêntico envie arquivos arbitrários, incluindo webshells JSP, submetendo um pedido POST multiparte/form- data ao /workrelate/ plan/ util/ uploaderOperate.jsp com valores arbitrários de campo se ID e.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Repository Nexus 3 não restringiu suficientemente quais propriedades do HikariCP connection pool poderiam ser definidas através da API de configuração do DataStore. Um usuário que mantenha a permissão de atualização nx- datastores pode definir a propriedade connectionInitSql para executar SQL arbitrário contra o banco de dados configurado em cada nova.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Atividade BubbleChat no aplicativo Datadog Android é declarada android:exported="true" sem proteção de permissão e aceita uma intenção de ENVIAR com texto/plain do tipo mime. A atividade lê um conversation_id a partir de extras de Intent e, no 'Destroy', chama BubbleChatNotification.dispense sempre que nenhuma sessão ativa em processo coincida com o.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Edição da Comunidade do Cônsul e Enterprise do Cônsul 1.18.0 através 2.0.2 são vulneráveis a uma negação de serviço autenticada no caminho de desvalorização da Edição Enterprise- to- Community que pode permitir que um chamador autorizado bloqueie o servidor do Cônsul. Um chamador com permissão de gravação de configuração pode enviar uma entrada de.
Este conteúdo foi publicado originalmente em 8 de agosto de 2026. O plugin WordPress do filtro YMC antes 3.12.9 não saneia os arquivos SVG carregados através de um de seus recursos de upload de ícones e permite que sejam carregados por usuários de baixas preferências, permitindo que usuários com o papel de Autor e acima dele enviem um arquivo contendo JavaScript que executa na origem do site quando o arquivo é.
Este conteúdo foi publicado originalmente em 8 de agosto de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: libceph: corrigir dois decodificadores nus inseguros no decode_lockers() decode_lockers() em cls_lock_client.c contém duas operações de decodificação que permitem que uma OSD maliciosa ou comprometida ativar a laje fora de limites lê: 1. ceph_decode_ 32 (p) no campo num_lockers não tem limites.
Este conteúdo foi publicado originalmente em 8 de agosto de 2026. D-Link DWR-M 961 dispositivos com a versão de hardware C 1 e versão de software 1.1.2 _C 1 _ 202602110044 conter uma vulnerabilidade de injeção de comando na interface /boafrm/ formWsc. Um atacante remoto pode injetar comandos arbitrários maliciosos nos campos localPin, alvoAPSsid, peerPin e peerRptPin, resultando em execução de comandos com.
Este conteúdo foi publicado originalmente em 9 de agosto de 2026. Uma fraqueza foi identificada no HelloGGX shadcn-vue- mcp até e 170 e 277 b 94235 cde 627803277 fc 8 c 41103 a 4 d 38. Afetado por este problema é a função fs.promises.readFile do arquivo src/server/callback-server.ts. Esta manipulação do caminho de arquivo do argumento causa o caminho transversal. O ataque é restrito à execução local. Este produto.
Este conteúdo foi publicado originalmente em 9 de agosto de 2026. O plug-in WordPress de acesso de dados WP antes 5.5.79 não valida os nomes de colunas que aceita em uma das suas ações AJAX não autenticadas, e a não- guarda de que a ação não os cobre, permitindo que os atacantes não autenticados leiam colunas arbitrárias da tabela de base de dados a que o formulário frontal afetado está vinculado, incluindo hashes.
Este conteúdo foi publicado originalmente em 9 de agosto de 2026. Uma vulnerabilidade foi encontrada no sistema de gestão de tarefas de projetos de código 1.0. Afetado por este problema é algumas funcionalidades desconhecidas do arquivo /user/comment_count_user.php. A manipulação do argumento task_id leva à injeção de sql. É possível iniciar o ataque remotamente. A exploração foi divulgada ao público e pode ser.
Este conteúdo foi publicado originalmente em 9 de agosto de 2026. Uma vulnerabilidade foi encontrada no autor do oidc-imammino até 0.4.0. Impactada é a função desembrulhada do arquivo src/handler.rs do componente Manejo de Mensagens Fixas. A manipulação do argumento jwtClaims resulta em deserialização. O ataque pode ser executado remotamente. A exploração foi tornada pública e pode ser usada. O fornecedor foi.
Este conteúdo foi publicado originalmente em 10 de agosto de 2026. Uma fraqueza foi identificada no Almico Speedfan 4.52. Isto afeta a função KiSystemCall 64 na biblioteca speedfan.sys do componente MSR Index Handler. Executar uma manipulação pode levar a vazamento de memória. O ataque só pode ser executado localmente. A exploração foi disponibilizada ao público e pode ser usada para ataques. O fornecedor foi.
Este conteúdo foi publicado originalmente em 10 de agosto de 2026. O plugin WordPress do Eventin antes 4.1.20 não valida corretamente uma configuração de caminho de modelo antes de usá- lo para incluir um arquivo local, permitindo que os usuários com acesso ao nível do editor e acima incluam e executem arquivos PHP locais arbitrários.
Este conteúdo foi publicado originalmente em 10 de agosto de 2026. Tegalog -Fumy Otegaru Memo Logger- fornecido pela Nishishi Factory contém uma vulnerabilidade devido a uma expressão regular permissiva, que pode permitir que um atacante que possa acessar o produto afetado faça login no console de gerenciamento. Como resultado, o atacante pode executar quaisquer operações disponíveis no console de gerenciamento.
Este conteúdo foi publicado originalmente em 10 de agosto de 2026. O plugin WordPress BricksForge antes 3.1.8.8 não verifica a identidade do requerente ao processar uma mudança de senha enviada através de uma das suas ações de formulário, permitindo que os atacantes não autenticados definam uma senha arbitrária para qualquer usuário, incluindo administradores, e tomem conta deles.
Este conteúdo foi publicado originalmente em 10 de agosto de 2026. O plugin WordPress Autopay antes 5.0.1 não executa qualquer capacidade ou verificação de não- ce antes de salvar uma opção de estilo a partir de um pedido público, e não escapa desse valor quando for mais tarde saída na página de checkout, permitindo que os atacantes não autênticos armazenam o JavaScript que executa no navegador de qualquer usuário.
Este conteúdo foi publicado originalmente em 10 de agosto de 2026. O plugin WordPress Gerenciador de Arquivos antes 6.9.1 não autoriza corretamente os seus comandos de gerenciamento de arquivos, permitindo que qualquer usuário autenticado, como um subscritor, leia e exclua arquivos arbitrários sob a diretoria de instalação do WordPress, o que poderia levar à divulgação dos segredos de configuração do site e à.
Este conteúdo foi publicado originalmente em 10 de agosto de 2026. O plugin WordPress do duplicado Post antes 1.5.5 não realiza verificações por objeto de autorização em sua cópia em massa e excluir operações, permitindo a qualquer usuário cujo papel um administrador tenha concedido o plugin do Duplicate Post WordPress antes 1.5.5 acesso para excluir permanentemente as mensagens arbitrárias no site, incluindo.
Este conteúdo foi publicado originalmente em 10 de agosto de 2026. Aplicativos para Android e iOS Aplicação ECOVACS PRO valida indevidamente os certificados do servidor. A comunicação pode ser recuperada e/ ou alterada.