Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. ### Resumo A injeção SQL é possível com strings apenas ** se o dialeto estiver definido em `oracle`**. A vulnerabilidade foi confirmada no Sequelize v 6.37.3.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. OsTicket 1.18.3 gera teclas API usando uma construção previsível baseada em MD 5 Hassing. O uso de MD 5, combinado com entradas previsíveis como o horário atual e endereço IP do cliente, reduz significativamente a entropia. Um atacante pode aproximar o tempo de geração da chave e forçar o espaço chave dentro de uma janela de tempo viável.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. Uma falha de segurança foi descoberta no danpros HTMLy até 3.1.1. Isto afeta a função add_ content do arquivo /system/admin/admin.php do componente Administrar Conteúdo Endpoint. Realizando uma manipulação do argumento oldfile resulta em caminho transversal. O ataque pode ser iniciado remotamente. A exploração foi lançada ao público e pode ser usada.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. Controle de acesso incorreto na NASA cFS v 7.0.1 permite que os atacantes removam arbitrariamente subscrições de baixo índice e adicionem novos fluxos através do envio de comandos de subscrição para adicionar/ remover TO_ LAB.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. Uma falha no Node. js HTTP/ 2 manipulação pode causar HTTP/ 2 blocos de cabeçalho retidos escapam da memória maxSession e habilitam o exaustão da memória remota.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. O plugin WordPress do fórum wpForo antes 3.1.3 não restringe os campos de perfil que um membro pode definir ao editar sua própria conta, permitindo que os usuários com uma conta de nível de subscritor escrevam campos de estado de conta controlado pelo administrador e de reputação no seu próprio perfil, incluindo a auto- activação de uma conta pendente.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. O firmware do produto contém uma chave privada RSA estática incorporada usada pelo servidor web Lighttpd para terminação do TLS. A exposição desta chave privada permite que atores maliciosos violem a confidencialidade e integridade das comunicações HTTPS, permitindo a decriptação do tráfego e a falsificação de servidores.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. Redirecionamento de URL para vulnerabilidade de site não confiável ('redirecionamento aberto') no software Bilin e consultoria informática Inc. Recursos Humanos digitais HUMANIST permite o Phishing.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. Em versões do Eclipse Milo 1.0.0 através 1.1.4, o serviço de chamadas envia o lote misto original para os manipuladores de endereços- espaço após o cálculo da autorização, permitindo que um cliente anônimo ou de baixa prioridade execute um método negado por lote com um método permitido.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. Perspectiva 5.0.0 contém uma vulnerabilidade transversal de caminho que permite que os atacantes remotos não autentificados leiam arquivos arbitrários do sistema de arquivos do servidor, incluindo os segmentos literais../ nos caminhos URL de solicitação HTTP. Os atacantes podem evitar a desinfectação insuficiente para atravessar fora do diretório root.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. A função openUrl em @a 2 ui/web_core passa por um URL controlado por um agente diretamente para window.open() sem validar o esquema URI. Um agente malicioso pode fornecer um javascript: URI como argumento url da função de um componente de botãoCall action. Quando o usuário clica no botão renderizado, o JavaScript arbitrário executa na origem do.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. Memória Corrupção ao processar entrada de usuário não confiável no gerenciador de comandos fastboot para configuração de framework de áudio.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. Uma fraqueza foi identificada no Systerel S 2 OPC até 1.7.3. Isto afeta a função LockedStaMac_ProcessMsg_DeleteMonitoredItemsResponse do arquivo src/ClientServer/frontend/client_wrapper/internal/state_machine.c do componente DeleteMonitoredItemsRequest Handler. Esta manipulação causa que a leitura seja fora de limites. O ataque só pode ser executado.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. NVIDIA Dynamo for Linux contém uma vulnerabilidade onde um atacante pode causar a geração de mensagens de erro que contêm informações sensíveis. Uma exploração bem sucedida desta vulnerabilidade pode levar à divulgação de informações.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. Uma ferramenta de espaço de trabalho compartilhada com um subsídio de leitura devolveu a fonte Python para o destinatário. Qualquer administrador não autentificado que pudesse usar uma ferramenta compartilhada também poderia ler a sua fonte, incluindo qualquer usuário na instância quando uma ferramenta foi compartilhada publicamente. A fonte é.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. Uma falha foi encontrada no SSSD. O extract_authtok_v 1 () a função no respondedor PAM não valida o campo auth_token_length contra o tamanho do buffer restante antes do processamento. Um atacante local pode explorar isto através de um protocolo criado v 1 solicitação para o socket do respondedor PAM, causando uma falha de leitura e processo fora de.
Este conteúdo foi publicado originalmente em 5 de agosto de 2026. aberto 62541 1.5.5 contém uma leitura fora de limites na resposta da função do lado do clienteReadNamespacesArray() no src/client/ua_client_connect.c.
Este conteúdo foi publicado originalmente em 5 de agosto de 2026. Uma vulnerabilidade foi determinada no armazém do yeqifu até ao final 29962 ba 407 d 22 d 991781 de 28796 ee 7 b 4670 e 4. Este problema afeta alguns processamentos desconhecidos do arquivo src/main/java/com/yeqifu/sys/controller/FileController.java. Esta manipulação do caminho do argumento causa o caminho transversal. É possível iniciar o ataque.
Este conteúdo foi publicado originalmente em 5 de agosto de 2026. Em OpenStack Swift através 2.38.0, o servidor proxy Aceitar o analisador de cabeçalho contém uma expressão regular vulnerável ao retrotracking catastrófico (ReDoS). O padrão "qdtext" (?:[^"].\\.* permite que um atacante remoto não autêntico envie um cabeçalho criado Aceitar que cause o consumo exponencial da CPU no trabalhador proxy. Uma carga útil de.
Este conteúdo foi publicado originalmente em 5 de agosto de 2026. O plug-in WordPress do Sunshine Photo Cart antes 3.6.12 não realiza verificações de controle de acesso em uma de suas ações AJAX, permitindo que usuários não autênticos recuperem os comentários de imagens pertencentes a galerias privadas, protegidas por senha ou restritas de qualquer outra forma.
Este conteúdo foi publicado originalmente em 5 de agosto de 2026. Pluck CMS através 4.7.21 restringe os carregamentos perigosos de arquivos em sua funcionalidade de gestão de arquivos de administração usando uma lista negra fixa em data/inc/files.php ('.php', 'php' 3 ','php 4 ','php 5 ','php 6 ','php 7 ','phtml', '.phtm', '.pht', '.ph 3 ', '.ph 4 ', '.ph 5 ','.asp','.cgi','.phar'), verificado contra o último 4 - 5.
Este conteúdo foi publicado originalmente em 5 de agosto de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: gtp: verifique o retorno do skb_pull_data() no gtp 1 u_send_echo_resp() gtp 1 u_send_echo_resp() ignora o valor de retorno do skb_pull_data(). O seu gtp de chamada 1 u_udp_encap_recv() só garante 16 bytes (udphdr + gtp) 1 _cabeça), mas os pedidos de puxação 20 (gtp) 1 _header_long + udphdr).
Este conteúdo foi publicado originalmente em 5 de agosto de 2026. A função CheckToken do Shiori (interno/domínios/auth.go) valida apenas a assinatura HMAC do JWT e retorna os créditos incorporados.Conte não modificado, nunca re- buscando a conta do banco de dados. Não existe nenhum mecanismo de armazenamento de sessão ou de revocação de tokens na base de códigos. A remoção de uma conta ou a demotação de uma função.
Este conteúdo foi publicado originalmente em 5 de agosto de 2026. Uma falha foi encontrada no motor Multicluster para o controlador Kubernetes ClusterCurator. Um administrador de inquilino com privilégios com espaço de nomes pode explorar esta vulnerabilidade criando um ClusterCurator com espaço de nomes. Esta ação inadvertidamente dá ao administrador do inquilino a capacidade de confetar um símbolo para uma conta.