814 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a vulnerabilidade.
Aikido Security descreveu a classe 'PromptPwnd', que permite injeção de prompts maliciosos em agentes de IA usados em pipelines CI/CD (GitHub Actions, GitLab). Um PoC contra o Gemini CLI levou à exposição de tokens; o Google corrigiu em quatro dias. Pesquisadores publicaram regras de detecção e recomendações práticas: sanitizar entradas, restringir ações de IA e reduzir escopos de tokens.
The Hacker News informou uma vulnerabilidade crítica (CVE-2025-66516) em Apache Tika, classificada com CVSS 10.0, que permite XML External Entity (XXE) nas famílias tika-core, tika-pdf-module e tika-parsers. A matéria enfatiza necessidade de correção urgente, mas não lista versões corrigidas nem mitigantes detalhados.
Relatos indicam exploração ativa da vulnerabilidade React2Shell (CVE‑2025‑55182) contra aplicações que usam React e Next.js poucas horas após a divulgação. A matéria cita atores ligados à China explorando a falha, mas não fornece PoC, IOCs ou lista de versões afetadas; recomenda‑se aguardar advisories oficiais para aplicar correções.
Reportagem do BleepingComputer descreve a vulnerabilidade apelidada de 'React2Shell' no protocolo "Flight" das React Server Components, capaz de RCE sem autenticação em aplicações React e Next.js. As fontes não detalham patches ou CVE; equipes devem isolar serviços e acompanhar updates oficiais.
A CISA adicionou duas vulnerabilidades críticas do Android Framework ao seu catálogo de vulnerabilidades exploradas (KEV): CVE-2025-48572 (elevação de privilégios) e CVE-2025-48633 (divulgação de informações). A inclusão indica exploração ativa; agências federais têm até 23/12/2025 para aplicar correções. Detalhes técnicos permanecem limitados; a orientação é priorizar patch e mitigação.
Uma falha crítica (CVE-2025-8489, CVSS 9.8) no plugin King Addons for Elementor permitia a criação de contas administrativas sem autenticação em versões 24.12.92–51.1.14. Wordfence bloqueou mais de 48.400 tentativas; o plugin foi corrigido na versão 51.1.35.
Google liberou o Chrome 143 com correções para 13 vulnerabilidades, incluindo uma falha de alta gravidade no motor V8. A atualização corrige vetores que permitem execução de código via JavaScript; administradores devem priorizar a instalação do patch.
O projeto Django liberou correções para duas vulnerabilidades críticas: CVE-2025-13372 (SQL injection de alta severidade, relacionada a FilteredRelation e ao uso de dictionary expansion em QuerySet.annotate()/alias() em projetos com PostgreSQL) e CVE-2025-64460 (DoS por complexidade algorítmica no serializador XML). Foram publicadas as releases 5.2.9, 5.1.15 e 4.2.27; o branch principal e o RC do Django 6.0 também receberam commits de correção.
OpenVPN libera correções em 2.6.17 e 2.7_rc3 para três vulnerabilidades (CVE-2025-13751, CVE-2025-13086, CVE-2025-12106) que causam DoS local, bypass de HMAC no handshake e heap buffer over-read em builds 2.7; administradores devem atualizar conforme a branch usada.
CISA incluiu a vulnerabilidade CVE-2021-26829 (XSS, CVSS 5.4) do OpenPLC ScadaBR em seu catálogo Known Exploited Vulnerabilities, citando exploração ativa. A falha afeta versões para Windows e Linux; as fontes não detalham vetores, PoC ou escopo de vítimas.