814 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a vulnerabilidade.
Fortinet liberou correções para CVE-2025-53949, uma vulnerabilidade de injeção de comandos na GUI do FortiSandbox (CVSS 7.0). A falha requer autenticação e permite execução de comandos no sistema. A fabricante recomenda atualização imediata para 5.0.3 ou 4.4.8, ou migração das séries 4.2/4.0.
SecurityWeek relata PCIe flaws encontrados por equipes da Intel que afetam processadores Intel e AMD, com potencial para divulgação de dados, escalonamento de privilégios e DoS. Equipes devem aplicar firmwares e microcódigos fornecidos pelos vendors.
SecurityWeek reporta que Siemens, Rockwell e Schneider liberaram correções para dezenas de vulnerabilidades em produtos industriais. Operadores de OT devem priorizar inventário, testes em ambiente controlado e aplicação das atualizações conforme boletins oficiais.
A SAP publicou as atualizações de dezembro corrigindo 14 vulnerabilidades em vários produtos, sendo três classificadas como críticas. O comunicado não traz CVEs ou versões afetadas; clientes devem consultar os avisos oficiais e aplicar os patches.
CVE-2025-64113 é uma falha crítica no Emby Server que permite a invasores não autenticados obterem acesso administrativo via API de recuperação de senha. Emby liberou correções (4.9.1.90 / 4.9.2.7) e um quick fix via plugins; mitigação temporária envolve restringir permissões do arquivo passwordreset.txt.
Pesquisadores descrevem a falha "Careless Whisper", que usa recibos de entrega silenciosos no WhatsApp e Signal para inferir estados do dispositivo e comportamento do usuário. O estudo mostrou RTTs distintos por estado (tela ligada/desligada/foreground), impactos em setups multi‑dispositivo e risco de drenagem de dados e bateria. Autores recomendam restringir receipts a contatos, adicionar ruído em RTT e rate‑limits.
Relatórios apontam aumento nas tentativas de exploração de CVE‑2025‑55182 (React2Shell). O resumo não detalha vetores, patches ou grupos atacantes; recomenda‑se auditar dependências JavaScript, checar comunicados oficiais e monitorar tentativas de exploração.
Uma vulnerabilidade no Apache Tika permite XXE via XFA embutido em PDFs, expondo potenciais recursos locais ou de rede quando documentos maliciosos são parseados. As fontes não informam versões afetadas nem correção divulgada; recomenda‑se bloquear XFA e habilitar proteções contra XXE.
Falha crítica CVE-2025-6389 (CVSS 9.8) no framework Sneeit para WordPress está sendo explorada em ambiente real; versões até 8.3 são vulneráveis — atualize para 8.4 imediatamente e aplique WAF.
Pesquisador Ari Marzouk (MaccariTA) revelou mais de 30 falhas apelidadas de IDEsaster em IDEs com recursos de IA. As vulnerabilidades combinam primitivos de injeção de prompt com funcionalidades legítimas para permitir roubo de dados e execução remota de código. A divulgação inicial não lista produtos afetados nem PoCs; equipes devem isolar ambientes e tratar saídas de IA como não confiáveis enquanto aguardam comunicados oficiais.