Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 13 de janeiro de 2026. A verificação incorrecta da assinatura criptográfica no Centro de Admin Windows permite que um atacante autorizado eleve privilégios localmente.
Este conteúdo foi publicado originalmente em 13 de janeiro de 2026. Versão do Desktop do DesignName 21.0, 19.5.5 e mais cedo são afetados por uma vulnerabilidade de sobrefluxo de buffer baseada em Heap que pode resultar em execução arbitrária de código no contexto do usuário atual. A exploração deste problema requer a interação do usuário, pois uma vítima deve abrir um arquivo malicioso.
Este conteúdo foi publicado originalmente em 14 de janeiro de 2026. O plugin de rediretor móvel WMF para WordPress é vulnerável ao script de sites armazenados através das configurações do plugin em todas as versões, incluindo, 1.2 devido à falta de sanidade de entrada e fuga de saída. Isto permite que os atacantes autenticados, com acesso ao nível do Administrador e acima, injetem scripts web arbitrários em páginas.
Este conteúdo foi publicado originalmente em 14 de janeiro de 2026. Outray alternativa de ngrok do código aberto. Antes de 0.1.5, esta vulnerabilidade permite que um usuário, ou seja, um usuário de plano livre, obtenha mais do que os subdomínios desejados devido à falta de mecanismos de bloqueio de transações db no main/apps/web/src/routes/api/$orgSlug/subdomínios/index.ts. Esta vulnerabilidade está fixada em 0.1.5.
Este conteúdo foi publicado originalmente em 14 de janeiro de 2026. Fraqueza do dessector de protocolo SOMOS/IP-SD em Wireshark 4.6.0 para 4.6.2 e 4.4.0 para 4.4.12 permite a negação de serviço
Este conteúdo foi publicado originalmente em 15 de janeiro de 2026. Alocação de recursos sem limites ou arrastar no HDF 5 componente de carga de peso no Google Keras 3.0.0 através 3.13.0 em todas as plataformas permite que um atacante remoto cause uma Negação de Serviço (DoS) através do exaustão de memória e um crash do intérprete Python através de um arquivo criado do.keras contendo um modelo.weights.h válido. 5.
Este conteúdo foi publicado originalmente em 15 de janeiro de 2026. O desvalor do Svelte é uma biblioteca JavaScript que serializa valores em strings quando o JSON. stringify não é suficiente para o trabalho. De 5.1.0 para 5.6.1, certos inputs podem fazer com que o devalue.parse consome tempo e/ ou memória excessivos da CPU, potencialmente levando à negação de serviço em sistemas que analisam os inputs de fontes não.
Este conteúdo foi publicado originalmente em 15 de janeiro de 2026. Inicialização incorreta da vulnerabilidade de recursos no Gerenciador de dispositivos internos (IDM) de Juniper Networks Junos OS no EX 4000 modelos permitem que um atacante não autenticado baseado em rede cause um Negativo de Serviço (DoS). Em EX 4000 modelos com 48 portos (EX) 4000 - 48 T, EX 4000 - 48 P, EX 4000 - 48 MP) um elevado volume de.
Este conteúdo foi publicado originalmente em 16 de janeiro de 2026. lucy-xss-filter antes de commit e 5826 c 0 permite que um atacante execute o JavaScript malicioso devido à desinfectação inadequada causada por arquivos de regra superdefinidos padrão erróneos.
Este conteúdo foi publicado originalmente em 16 de janeiro de 2026. versões de PEM antes do 9.8.1 são afetados por uma vulnerabilidade de scripts cruzados (XSS) armazenada que permite aos usuários com acesso ao menu Gerenciar gráficos injetar JavaScript arbitrário ao criar um novo gráfico, que é executado por qualquer usuário que acessa o gráfico. Por padrão, apenas o superusuário e usuários com privilégios.
Este conteúdo foi publicado originalmente em 16 de janeiro de 2026. O WeGIA é um gerente web para instituições de caridade. Antes de 3.6.2, O aplicativo web é vulnerável a ataques de clicjacking. O aplicativo WeGIA não envia nenhum cabeçalho HTTP defensivo relacionado com a proteção de enquadramento. Em particular, faltam opções de quadro X e a diretiva de segurança de conteúdo com os gestores de quadros não está.
Este conteúdo foi publicado originalmente em 17 de janeiro de 2026. A dinâmica integrada 365 O plugin CRM para WordPress é vulnerável ao script de site cruzado armazenado através de configurações de administrador em todas as versões até, incluindo, 1.1.1 devido à falta de desinfectação de entrada e saídas em atributos fornecidos pelo usuário. Isto permite que os atacantes autenticados, com acesso ao nível do.
Este conteúdo foi publicado originalmente em 18 de janeiro de 2026. Uma falha foi encontrada no sistema de gestão da sociedade itsourcecode 1.0. O elemento afetado é uma função desconhecida do arquivo /admin/delete_activity.php. Executar uma manipulação do argumento activity_id pode levar a injeção de sql. É possível iniciar o ataque remotamente. A exploração foi publicada e pode ser usada.
Este conteúdo foi publicado originalmente em 19 de janeiro de 2026. HarfBuzz:: versões de Shaper antes 0.032 para o Perl contém uma biblioteca em bundle com um pontor nulo deverver a vulnerabilidade. Versões anteriores 0.032 conter HarfBuzz 8.4.0 ou mais precocemente agrupado como hb_src.tar.gz no tarball fonte, que é afetado pelo CVE- 2026 - 22693.
Este conteúdo foi publicado originalmente em 19 de janeiro de 2026. Uma vulnerabilidade de segurança foi detectada no mpay técnico-laohu até 1.2.4. O elemento impactado é uma função desconhecida do componente QR Code Image Handler. Tal manipulação do argumento codeimg leva a um upload irrestrito. O ataque pode ser lançado remotamente. A exploração foi divulgada publicamente e pode ser usada.
Este conteúdo foi publicado originalmente em 19 de janeiro de 2026. FreeRDP é uma implementação gratuita do Protocolo de Desktop Remoto. Antes da versão 3.21.0,`freerdp_bitmap_decompress_planar` não valida `nSrcWidth`/`nSrcHeight` contra `planar->maxWidth`/`maxHeight` antes do decodificador do RLE. Um servidor malicioso pode ativar um sobrecarga de buffers do lado do cliente, causando um crash (DoS) e uma potencial.
Este conteúdo foi publicado originalmente em 19 de janeiro de 2026. MyTube é um downloadador e um leitor auto- hospedados para vários sites de vídeo. Antes da versão 1.7.71, um bypass limitante de taxa via "X- Forwarded- For" de cabeçalho permite que atacantes não autênticos para bypass limitação de taxa baseada em IP nos endpoints gerais da API. Os atacantes podem falar com IPs de clientes manipulando o cabeçalho.
Este conteúdo foi publicado originalmente em 20 de janeiro de 2026. Uma falha de segurança foi descoberta no CRMEB até 5.6.3. O elemento afetado é a função AppleLogin do arquivo crmeb/app/api/controller/v 1 /LoginController.php. Realizar uma manipulação do argumento openId resulta em autenticação inadequada. O ataque é possível ser realizado remotamente. A exploração foi lançada ao público e pode ser usada para.
Este conteúdo foi publicado originalmente em 22 de janeiro de 2026. A vulnerabilidade da autorização perdida no construtor de formulários simples hasantafeshi permite a exploração de níveis de segurança do controle de acesso incorretamente configurados.Este problema afeta o construtor de formulários simples: de n/a até <= 3.9.6.
Este conteúdo foi publicado originalmente em 20 de janeiro de 2026. O plug-in da WP Hello Bar para WordPress é vulnerável ao script de sites cruzados armazenados através dos parâmetros 'digite_one' e 'digite_two' em todas as versões até, incluindo, 1.02 devido à falta de sanidade de entrada e fuga de saída. Isto torna possível que os atacantes autenticados, com acesso ao nível do administrador e acima, injetem.
Este conteúdo foi publicado originalmente em 20 de janeiro de 2026. HackerUm membro da comunidade Faraz Ahmed (PakCyberbot) reportou uma injeção de string de formato nas configurações do Adserver Revive. Quando combinações de caracteres específicas são usadas em uma configuração, o console de usuário administrador pode ser desativado devido a um erro fatal do PHP.
Este conteúdo foi publicado originalmente em 20 de janeiro de 2026. Vulnerabilidade no produto PeopleSoft Enterprise PeopleTools do Oracle PeopleSoft (componente: Notificações de Empurra). As versões suportadas que são afetadas são 8.60, 8.61 e 8.62. A vulnerabilidade facilmente explorável permite que o atacante de baixos privilégios com acesso à rede via HTTP comprometa PeopleSoft Enterprise PeopleTools. Os ataques.
Este conteúdo foi publicado originalmente em 20 de janeiro de 2026. Vulnerabilidade no componente Java VM do servidor de base de dados Oracle. As versões suportadas que são afetadas são 19.3 - 19.29 e 21.3 - 21.20. A vulnerabilidade facilmente explorável permite que o atacante privilegiado com privilégio de usuário autenticado com acesso à rede via Oracle Net comprometa a Java VM. Os ataques bem sucedidos requerem.
Este conteúdo foi publicado originalmente em 21 de janeiro de 2026. telnetd no GNU Inetutils através 2.7 permite um bypass de autenticação remota através de um valor "- f root" para a variável de ambiente USER.