Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 23 de agosto de 2026. Construtor de popup brave (construtor de popup brave) até a versão 0.8.5 reflete os parâmetros de consulta UTM em formato popup HTML sem escapar deles.
Este conteúdo foi publicado originalmente em 23 de agosto de 2026. justhtml antes 1.16.0 contém múltiplos problemas de desinfectação HTML que podem permitir que conteúdo ativo/ perigoso (por exemplo, script ou estilo) sobreviva à desinfectação, potencialmente levando a scriptings cruzados. Os problemas afetam principalmente o uso avançado em vez do caminho padrão JustHTML(..., sanitize=True) para o HTML analisado.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Uma vulnerabilidade foi encontrada em horstcat libwebsockets 4.5.0. Impactada é a função report_raw_cbor do arquivo lib/misc/lecp.c do componente LECP CBOR Recording. A manipulação resulta em gravação fora de limites. O ataque pode ser lançado remotamente. A exploração foi tornada pública e pode ser usada. O patch é identificado como 1 d 44554 a 1 bb.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Uma falha de segurança foi descoberta na fusão de alababa ao lado de 1.27.34. Esta questão afeta a função ConfigProvider.getContextProps do arquivo componentes/dialog/index.tsx do componente deepMerge. Realizando uma manipulação da localização do argumento resulta em modificação indevidamente controlada dos atributos do protótipo de objeto. O ataque.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. A interface da web do Murrelektronik Xelity afetado muda os endereços MAC do dispositivo da tabela de endereços MAC quando um administrador autenticado usa a função 'Copiar endereços MAC aprendidos'. Devido à geração inadequada de mensagens de erro, um atacante não autenticado com acesso à rede à interface web pode recuperar os endereços MAC.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Scripting de Sites de Cruz não autenticado (XSS) em Urna <= 2.6.2 versões. Registro de aconselhamento: GHSA-w 6 g 6 - 8 fcq- mj 98.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Exposição de dados sensíveis não autenticada no WP Cafe Pro < 3.0.15 versões. Registro de aconselhamento: GHSA- 66 jq- 87 jf- r 7 GV.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Existe um problema de revascularização da autenticação nas comunicações entre as versões afetadas do Conector Cliente Zscaler e do Portal do Conector Cliente Zscaler.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Uma falha foi encontrada no rpmbuild. Quando rpmbuild processa um tarball criado em modo tarball, um nome de membro de tar especialmente projetado pode levar a injeção de macro. Esta vulnerabilidade permite que um atacante remoto execute código arbitrário no sistema, convencendo um usuário a construir um tarball malicioso.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. RansomLook contém uma vulnerabilidade de scripting entre sites (XSS) armazenada na janela de detalhes da carteira de criptomonedas. Os endereços de criptomonedas e nomes de blockchain originados de fontes externas, incluindo o feed público ransomwhe.re fonte de multid, foram armazenados sem validação suficiente e posteriormente incorporados.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Proteção inadequada contra a vulnerabilidade de falhas de tensão e relógio no Microchip SAMA 5 D 4 permite a injeção de falhas de hardware.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Múltiplos modelos DrayTek VigorAP contêm uma vulnerabilidade de injeção de comandos no tr 069 Função TestInform. A vulnerabilidade é causada por filtragem insuficiente de caracteres perigosos antes que o campo event_code seja concatenado em um comando de sistema. Um atacante remoto pode desencadear esta vulnerabilidade através de entrada criada para.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. ### Resumo A chave cache da página CMS ignora os cabeçalhos do pedido que os plug-ins declaram via `get_vary_cache_on()`. O cabeçalho é adicionado ao cabeçalho da resposta `Vary`, mas a chave cache do próprio CMS não incorpora os valores do cabeçalho, por isso a variante do primeiro visitante é servida a todos os visitantes subsequentes.
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Aria 2 versão 1.37.0 e abaixo é afetado por um problema Divide By Zero no src/bittorrent_helper.cc, que permite que um usuário malicioso remoto cause uma Negação de Serviço
Este conteúdo foi publicado originalmente em 24 de agosto de 2026. Dolibarr 21.0.0 antes 24.0.0 contém uma vulnerabilidade de contornação de autorização causada por uma condição booleana invertida na verificação de adesão ao projeto privado dentro do manipulador de ação de massas das tarefas de clone no htdocs/core/actions_massactions.inc.php. Os usuários autenticados com permissão de criação de projeto, mas sem.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. Scripting de Sites de Cruz não autenticado (XSS) no Boost <= 2.0.4 versões. Registro de aconselhamento: GHSA- cvm 2 - 5 mpr- 98 pp.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. Grav API plugin antes 1.0.16 contém uma vulnerabilidade de falsificação de solicitação do lado do servidor na entrega do webhook que permite que os atacantes evitem a validação do nome de máquina por DNS rebinding. Os atacantes que controlam DNS autoritário para um nome de hospedeiro webhook configurado podem responder às buscas de validação com.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. O plugin Grav Login (getgrav/grav-plugin-login) antes 3.9.1 é vulnerável à enumeração de endereços de e- mail. O método register() em classes/Login.php lança uma exceção distinta (EMAIL_ NOT_ DISPONIBLE) quando um endereço de e- mail enviado já pertence a uma conta existente, permitindo que o registro proceda de outra forma. Como o objetivo do.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. O plug-in do Gerenciador de Eventos – Calendário, Reservas, Tickets e muito mais para WordPress é vulnerável à inclusão de Arquivos Local em todas as versões até, inclusive, 7.3.7.4 via a função em_options_save. Isto permite que os atacantes autenticados, com acesso ao nível do administrador e acima, incluam e executem arquivos arbitrários do.php no.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. Existe uma vulnerabilidade de sobrecarga de buffer baseada em pilhas na vista do cliente do SKYSEA e no gerenciador de TI do SKYMEC. Se esta vulnerabilidade for explorada, um atacante que pode fazer login em um sistema Windows no qual o produto afetado está instalado poderá executar código arbitrário em outro sistema Windows que tenha o produto.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. A extensão força restrições de grupo frontal vazio e sub- herança de páginas nos registros de páginas durante as sub- solicitações do indexador, e este estado forjado persistiu no cache de rootline compartilhado, permitindo que visitantes anônimos escapassem às restrições de acesso estendidas de Sub- sub- páginas nas páginas armazenadas.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. O plugin Total Donations para WordPress é vulnerável à injeção SQL em todas as versões até, inclusive, 2.0.5 devido à falta de fuga no parâmetro fornecido pelo usuário e falta de preparação suficiente na consulta SQL existente. Isto torna possível que os atacantes não autênticos acrescentem consultas SQL adicionais a consultas já existentes que podem.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. O plug-in Membro final – perfil de usuário, registro, login, diretório de membros, restrição de conteúdo e adesão para WordPress é vulnerável ao script de sites cruzados armazenados através do campo de perfil Textarea com suporte HTML (DOM Gadget via atributo id) em todas as versões até, e incluindo, 2.12.1 devido à falta de sanidade de entrada e.
Este conteúdo foi publicado originalmente em 25 de agosto de 2026. Ech 0 antes 5.0.1 não impõe qualquer tamanho ou limite de forma no cabeçalho do idioma aceito processado pelo seu i 18 n Middleware, que executa em cada pedido HTTP. O cabeçalho é passado sem filtro para go-i 18 n's NewLocalizer, que internamente chama de golang.org/x/text/language.ParseAcceptLanguage. O CVE- 2022 - 32149 Mitigação em x/texto tampas.