Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 6 de agosto de 2026. Scripting de Sites de Cruz não autenticado (XSS) no botão de compra agora do PayPal fácil <= 2.0.4 versões.
Este conteúdo foi publicado originalmente em 6 de agosto de 2026. Vulnerabilidade de Bypass não autenticada no Login com número de telefone <= 1.8.70 versões.
Este conteúdo foi publicado originalmente em 6 de agosto de 2026. Os registros Postgres e SQLite persistem em espaços de nomes hierárquicos como uma string unida a pontos (`("memórias", "alice")` se torna `memories.alice`) e lê-se com o escopo correspondente a essa string com o `LIKE ' %''. Porque `LIKE` não tem noção do separador `.`, um `search` ou `list_namespaces` com escopo também corresponde a espaços de nomes.
Este conteúdo foi publicado originalmente em 6 de agosto de 2026. As versões afetadas de `liga/commonmark` podem ter complexidade quadrática ao analisar linhas de Markdown especialmente criadas. Em termos práticos, duplicar o comprimento de uma linha afetada pode fazer com que o analisador funcione aproximadamente quatro vezes mais trabalho. O analisador identifica locais usando posições de caracteres, mas as.
Este conteúdo foi publicado originalmente em 6 de agosto de 2026. A vulnerabilidade da complexidade Algorítmica ineficiente no motor transversal no rrgene html_sanitize_ex permite que um atacante remoto não autêntico exaustice a CPU do servidor e a memória através de uma execução plana de elementos irmãos em HTML saneado. A cláusula de lista de HtmlSanitizeEx.Traverser.traverse/ 2 recorre na cauda de uma lista de.
Este conteúdo foi publicado originalmente em 6 de agosto de 2026. Um usuário do painel de controle que detém apenas a permissão de viewCategories para um grupo de categorias (e não salvarCategorias) pode modificar permanentemente a estrutura da categoria desse grupo — reordenando e re-parentando categorias através da ação estruturas/elemento de movimento.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. O plugin WordPress de adesão simples antes 4.7.7 não verifica que uma notificação de pagamento PayPal foi enviada para a própria conta comercial configurada do site antes de ativar uma associação, permitindo que usuários não autênticos ativem ou estendam uma associação usando um pagamento feito para uma conta PayPal arbitrária que controlam.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. O nome do WPC Seu preço para o plugin WordPress WooCommerce antes 2.2.5 não aplica a sua lista de preços do lado do servidor para produtos configurados no modo de preço "Selecionar", permitindo que um visitante não autêntico adicione tal produto ao carrinho com um valor arbitrário abaixo dos preços permitidos pelo comerciante e comete uma ordem real a.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Vilância de injeção SQL no FineAdmin V 1.0 permite que um atacante remoto execute código arbitrário através dos parâmetros `field` e `order` nos endpoints da lista paginada
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. o lama.cpp constrói b 1886 através de b 7445 conter uma condição de raça de utilização-após-liberdade na embalagem LLaMA-Android JNI onde banco_ 1 modelo() e free_ 1 context() falta sincronização, permitindo que o Thread A funcione com memória livre enquanto o Thread B liberta simultaneamente o contexto de lama. Os atacantes podem explorar isso.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. O Projeto AIL contém uma vulnerabilidade de scripts entre sites armazenada nos controles de tradução mostrados para mensagens de chat e postagens de fórum.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Uma vulnerabilidade de segurança foi detectada no StableBit DrivePool 2.3.13.1687. Esta vulnerabilidade afeta o código desconhecido do arquivo C:\Program Files\StableBit\DrivePool\DrivePool.Service.exe do componente DrivePoolService. Tal manipulação leva a problemas de permissão. O ataque deve ser realizado localmente. A exploração foi divulgada.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. O plug-in para WordPress modelo antes 3.7.1 não tem uma verificação de autorização em um dos seus gestores de pedidos, permitindo que os atacantes não autênticos sobrescrevam a conexão de serviço de nuvem armazenada do administrador com uma conta sob seu controle, desconectando o administrador legítimo e redirecionando a biblioteca de modelos de nuvem.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. A caixa Web do TeamDavid por Toby Laboratories AG constrói URLs de redirecionamento usando entrada fornecida pelo usuário, que é anexada ao alvo de redirecionamento em um 302 Resposta HTTP. Usando caracteres codificados por URL, como o ça% 2 e (') (representando um ponto), um atacante pode manipular a porção da URL seguindo o domínio de nível superior.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Tobit Laboratories AG TeamDavid's Webbox aplicativo contém uma vulnerabilidade de scripting cruzado refletido (XSS). Ao enviar um link especialmente criado, incluindo um caminho arbitrário, uma carga útil XSS ou o parâmetro їEntryInfoї, e o parâmetro ї!templateName=entryMailї, um atacante pode fazer com que a carga útil seja executada no navegador.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. OPENDAP Hyrax permite a divulgação de credenciais e SSRF através de redirecionamentos HTTP não validados que escapam aos endpoints controlados pelo atacante.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. ### Impacto Nas versões afetadas, chamar `UploadedFile::move()` **sem um segundo argumento** usa o nome do arquivo fornecido pelo cliente sem desinfectação. Dependendo do caminho de destino e da configuração do servidor, um atacante pode fornecer um nome de arquivo contendo sequências de caminho transversales (por exemplo, `../../public/shell.php`).
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Uma vulnerabilidade foi encontrada no site do Compartilhamento de Fotos do SourceCodester 1.0. Isto afeta uma função desconhecida do arquivo /social/ajax.php?action=signup. Realizando uma manipulação do e- mail do argumento resulta em injeção sql. É possível a exploração remota do ataque. A exploração foi tornada pública e pode ser usada.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. A extensão nativa C do JSON do Ruby limpa o buffer de entrada 'JSON::ResumoParser' consumido, mas deixa 'state.start', `state.cursor' e `state.end' apontando para o armazenamento liberado.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Uma falha de segurança foi descoberta no Sistema de nomeação de médicos simples SourceCodester 1.0. Esta vulnerabilidade afeta o código desconhecido do arquivo /admin/ajax.php?action=delete_appointment. A manipulação do ID do argumento resulta em injeção de sql. O ataque pode ser lançado remotamente. A exploração foi lançada ao público e pode ser.
Este conteúdo foi publicado originalmente em 7 de agosto de 2026. Existe uma vulnerabilidade de negação de serviço no serviço httpd no Archer A 6 v 4 onde o caminho de manobra de instruções de systool assíncrono no httpd não sincroniza ou gerencia de forma segura as operações de systool concorrentes.
Este conteúdo foi publicado originalmente em 8 de agosto de 2026. O plug-in do WP Directory Kit WordPress antes 1.5.5 não realiza verificações de autorização ou nãoce em uma das suas ações AJAX autenticadas, permitindo que qualquer usuário autenticado, como um Subscritor, divulgue o plug-in do WP Directory Kit WordPress antes 1.5.5 configurações incluindo chaves e segredos da API sensíveis.
Este conteúdo foi publicado originalmente em 8 de agosto de 2026. Uma falha foi encontrada no mindpilot-mcp abronsmead 0.5.0. Afectada por este problema é uma funcionalidade desconhecida do HistoryService do componente. Esta manipulação do ID do argumento causa o caminho transversal. O ataque precisa ser lançado localmente. O projeto foi informado do problema no início através de um relatório de problema, mas ainda.
Este conteúdo foi publicado originalmente em 8 de agosto de 2026. D-Link DWR-M 961 dispositivos com a versão de hardware C 1 e versão de software 1.1.2 _C 1 _ 202602110044 conter uma vulnerabilidade de injeção de comandos na interface app.cgi. Um atacante remoto pode injetar comandos arbitrários maliciosos no campo netDig.ping.dst, resultando em execução de comandos com privilégios root.