Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 10 de março de 2026. Usar depois de livre no Serviço de Plataforma de Dispositivos Conectados (Cdpsvc) permite que um atacante autorizado eleve privilégios localmente.
Este conteúdo foi publicado originalmente em 10 de março de 2026. Uma neutralização inadequada de elementos especiais usados em uma vulnerabilidade de comando os ('os command injection') no Fortinet FortiSandbox Cloud 5.0.4, FortiSandbox PaaS 5.0.4 poderá permitir que um atacante privilegiado com perfil de super- administração e acesso CLI execute código ou comandos não autorizados através de solicitações HTTP.
Este conteúdo foi publicado originalmente em 10 de março de 2026. Alocação de recursos sem limites ou enrolamento no núcleo ASP.NET permite que um atacante não autorizado negue o serviço através de uma rede.
Este conteúdo foi publicado originalmente em 10 de março de 2026. O Parse Server é um backend de código aberto que pode ser implementado para qualquer infraestrutura que possa executar Node.js. Antes de 8.6.12 e 9.5.1 - Alfa. 1, o controle de segurança de requestKeywordDenylist pode ser evitado colocando qualquer objeto ou array ninhado antes de uma palavra-chave proibida na carga útil do request. Isto é causado por.
Este conteúdo foi publicado originalmente em 10 de março de 2026. o iccDEV fornece um conjunto de bibliotecas e ferramentas para trabalhar com perfis de gestão de cores ICC. Antes de 2.3.1.5, há um sobrecarga de buffer baseado em pilhas no CICcCalculatorFunc::InitSelectOp() ativado com interação local do usuário causando corrupção de memória/ crash. Esta vulnerabilidade está fixada em 2.3.1.5.
Este conteúdo foi publicado originalmente em 10 de março de 2026. Sistema de Automação da Estação de Gás do TS-G do BUK 2.9.1 no Linux contém uma vulnerabilidade de injeção SQL (CWE- 89 ) no módulo de configuração do sistema. Um atacante remoto pode enviar pedidos HTTP POST especialmente criados para o endpoint /php/request.php através do parâmetro sql em dados do aplicativo/x- www- form-urlencoded (por exemplo.
Este conteúdo foi publicado originalmente em 10 de março de 2026. O Craft é um sistema de gestão de conteúdo (CMS). Antes de 4.17.4 e 5.9.7, Craft CMS tem um problema CSRF no endpoint token de visualização em /actions/preview/create- token. O objetivo aceita uma visualização fornecida pelo atacante. Como a ação não requer POST e não aplica um token CSRF, um atacante pode forçar um editor de vítimas registrado a.
Este conteúdo foi publicado originalmente em 10 de março de 2026. LinkAce é um arquivo auto- hospedado para coletar links de sites. Em 2.1.0 e antes, o método processoTaxonomy() no LinkRepository.php permite que usuários autenticados atribuam etiquetas e listas privadas de outros usuários para seus próprios links passando IDs inteiros.
Este conteúdo foi publicado originalmente em 10 de março de 2026. O Sylius é um Framework de Comércio Aberto em Symfony. MoedaControler de Interrupção:: switchAction(), Imponder UserController:: imponderAction() e StorageBasedLocaleSwitcher::handle() usam o cabeçalho do Referer HTTP diretamente ao redirecionar. O ataque requer que a vítima clique num link de aplicativo legítimo colocado em uma página controlada pelo.
Este conteúdo foi publicado originalmente em 10 de março de 2026. Versão ilustradora 29.8.4, 30.1 e anteriores são afetados por uma vulnerabilidade de sobrefluxo de buffer baseada em Stack que pode resultar em execução arbitrária de código no contexto do usuário atual. A exploração deste problema requer a interação do usuário, pois uma vítima deve abrir um arquivo malicioso.
Este conteúdo foi publicado originalmente em 11 de março de 2026. Versão do Adobe Commerce 2.4.9 - Alfa 3, 2.4.8 - p 3, 2.4.7 - p 8, 2.4.6 - p 13, 2.4.5 - p 15, 2.4.4 - p 16 e antes são afetados por uma vulnerabilidade de Autorização Incorreta que pode resultar em um bypass de recursos de Segurança. Um atacante pode aproveitar esta vulnerabilidade para evitar medidas de segurança e ter impacto limitado na.
Este conteúdo foi publicado originalmente em 11 de março de 2026. O plug-in WordPress de entrega de dados e comércio electrónico antes 2.6.60 expõe um objetivo REST não autenticado que permite a qualquer usuário remoto modificar a opção `datalogics_token` sem verificação. Este token é posteriormente usado para autenticação em um endpoint protegido que permite aos usuários executar operações arbitrárias do WordPress.
Este conteúdo foi publicado originalmente em 11 de março de 2026. Core WordPress é vulnerável ao acesso não autorizado em versões 6.9 através 6.9.1. A funcionalidade Notas (annotações de colaboração de nível de bloco) foi introduzida no WordPress 6.9 para permitir comentários editoriais diretamente sobre posts no editor de blocos. No entanto, o método REST API `create_item_permissions_check()` no controlador de.
Este conteúdo foi publicado originalmente em 11 de março de 2026. Em JetBrains Hub antes 2026.1 possível no registro de conta descompactar com autidade não SSO e 2 FA desativado
Este conteúdo foi publicado originalmente em 11 de março de 2026. GitLab remedia um problema no GitLab CE/EE que afeta todas as versões 8.11 antes 18.7.6, 18.8 antes 18.8.6, e 18.9 antes 18.9.2 que poderia ter permitido a um usuário autenticado fazer solicitações internas não intencionadas através de ambientes proxy sob certas condições devido à validação de entrada inadequada na funcionalidade de importação.
Este conteúdo foi publicado originalmente em 13 de março de 2026. A vulnerabilidade da autorização perdida nos temas UX Flatsome Flatsome permite a exploração de Níveis de Segurança de Controle de Acesso Incorretamente Configurados.Este problema afeta Flatsome: desde n/a até <= 3.19.6.
Este conteúdo foi publicado originalmente em 11 de março de 2026. Striae é um companheiro de comparação de examinadores de armas de fogo. Uma vulnerabilidade de contornação de integridade de alta gravidade existiu no fluxo de trabalho de confirmação digital da Striae antes do v 3.0.0. Campos de hash confiáveis de validação de manifesto que poderiam ser modificados juntamente com conteúdo de pacotes, permitindo que.
Este conteúdo foi publicado originalmente em 11 de março de 2026. cpp-httplib é um C++ 11 biblioteca HTTP/ HTTPS de um único arquivo com apenas cabeçalho. Antes de 0.37.1, quando um cliente cpp- httplib usa a API de transmissão (httplib::stream::Get, httplib::stream::Post, etc.), a biblioteca chama std::stoull() diretamente no valor de cabeçalho de Conteúdo- Longitude recebido do servidor sem validação de entrada e.
Este conteúdo foi publicado originalmente em 11 de março de 2026. O software é uma plataforma de comércio aberto. Antes de 6.6.10.15 e 6.7.8.1, uma vulnerabilidade no fluxo de registro do aplicativo Shopware que poderia, sob condições específicas, permitir que os atacantes assumissem o canal de comunicação entre uma loja e um aplicativo. O fluxo de registro de aplicativos antigos usou autenticação baseada no HMAC.
Este conteúdo foi publicado originalmente em 11 de março de 2026. O Parse Server é um backend de código aberto que pode ser implementado para qualquer infraestrutura que possa executar Node.js. Antes de 9.6.0 - Alfa. 9 e 8.6.35, um atacante pode explorar subscrições ao LiveQuery para inferir os valores de campos protegidos sem recebê- los diretamente. Ao se inscrever com uma cláusula WHERE que refere um campo.
Este conteúdo foi publicado originalmente em 11 de março de 2026. O StudioCMS é um sistema de gestão de conteúdo sem cabeça, nativo do Astro, rendedo pelo servidor. Antes de 0.4.3, o objetivo REST API createUser usa verificações de ranking baseadas em string que bloqueiam apenas a criação de contas do proprietário, enquanto a API do painel de dados usa a comparação de rankings índiceOf based que impede a criação de.
Este conteúdo foi publicado originalmente em 11 de março de 2026. FastGPT é uma plataforma de construção de AI Agent. Em 4.14.7 e anteriormente, o Python Sandbox do FastGPT (fastgpt- sandbox) inclui barras de proteção destinadas a evitar escrevê- lo (detecção estática + seccomp). Estes grades de guarda são contornáveis remaping stdout (fd 1 ) para um descritor de arquivo redigible arbitrário usando fcntl. Após.
Este conteúdo foi publicado originalmente em 11 de março de 2026. Fora dos limites lidos em V 8 no Google Chrome antes de 146.0.7680.71 Permitiu que um atacante remoto executasse acesso de memória fora dos limites através de uma página HTML criada. (Severidade de segurança do cromo: médio)
Este conteúdo foi publicado originalmente em 11 de março de 2026. versão yauzl (outra biblioteca Unzip) 3.2.0 para Node.js contém um erro desligado em um no teste de tempo estendido do NTFS, na função getLastModDate(). A condição do loop enquanto verifica cursor < data.longth + 4 em vez do cursor + 4 <= data.length, permitindo lerUInt 16 LE() para ler além do limite do buffer. Um atacante remoto pode causar uma.