126 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a vulnerability.
Check Point Research reportou uma falha de command injection no Codex CLI que permitia executar comandos arbitrários a partir de configuração em repositórios; OpenAI corrigiu a falha em Codex CLI 0.23.0 — usuários devem atualizar e tratar configs .codex/.env como sensíveis.
Pesquisa revela que desativar o cadastro no Azure APIM Developer Portal não bloqueia o endpoint /signup quando Basic Authentication está ativo; invasores podem usar manipulação do cabeçalho Host para criar contas em tenants alheios. Mitigação principal: remover o provedor "Username and password" e migrar para Azure AD.
A CISA adicionou CVE-2021-26829 (XSS em OpenPLC ScadaBR) ao seu catálogo KEV em 28/11/2025, informando exploração ativa. A falha em system_settings.shtm permite injeção de script no navegador de administradores, com risco a redes OT; há orientação de correção imediata e prazo de remediação para agências FCEB até 19/12/2025.
O pacote JavaScript node-forge recebeu correção para uma vulnerabilidade que, segundo relato do Bleeping Computer, poderia ser explorada para burlar verificações de assinatura ao manipular dados. A matéria informa que há um fix disponível, mas não detalha CVE, versões afetadas ou PoC. Equipes devem atualizar dependências e auditar usos de assinatura até que um advisory técnico seja publicado.
Uma falha na versão 1.0 do Microsoft Update Health Tools permitia que blobs Azure desregistrados fossem controlados por terceiros, gerando mais de 544.000 requisições e possibilitando execução de código via a ação "ExecuteTool"; atualize para a versão 1.1 e revise compatibilidades.
Uma configuração padrão insegura no Vault Terraform Provider (v4.2.0–v5.4.0) permite bypass de autenticação via LDAP (CVE-2025-13357). HashiCorp publicou correções no provider (v5.5.0) e atualizações do Vault; equipes devem definir deny_null_bind=true e atualizar imediatamente.
Oligo Security relatou cinco vulnerabilidades em Fluent Bit que, se encadeadas, permitem bypass de autenticação, path traversal, RCE, DoS e manipulação de tags — riscos críticos para ambientes de nuvem que usam o agente para coleta de logs e telemetria.
A CISA adicionou CVE‑2025‑61757 (Oracle Identity Manager) ao seu catálogo Known Exploited Vulnerabilities, sinalizando exploração ativa. Equipes que usam Oracle Identity Manager devem priorizar busca por advisories oficiais, aplicação de patches e mitigação compensatória enquanto investigam possíveis impactos.
PoC pública para CVE‑2025‑9501 demonstra uma command‑injection pré‑autenticação no W3 Total Cache; a exploração exige conhecer W3TC_DYNAMIC_SECURITY, ter page caching ativo e permitir comentários anônimos, e pode levar a RCE em sites WordPress — plugin tem >1M de instalações.
A vulnerabilidade CVE-2025-62164 em vLLM (>= 0.10.2) permite corrupção de memória e potencial execução remota via desserialização de tensores em torch.load(); CVSS 8.8 — correção disponível em PR #27204.