126 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a vulnerability.
O projeto Django lançou patches para seis vulnerabilidades, incluindo três SQL injection (CVE-2026-1207/1287/1312) que afetam PostGIS e FilteredRelation, além de vetores de DoS. Atualize para as versões 6.0.2, 5.2.11 ou 4.2.28 imediatamente.
Foxit corrigiu duas vulnerabilidades XSS (CVE-2026-1591 e CVE-2026-1592) em PDF Editor Cloud; atualizações foram aplicadas em 3/2/2026 e clientes desktop devem atualizar manualmente.
Uma vulnerabilidade XXE (CVE-2026-23795) no console do Apache Syncope permite que administradores maliciosos ou contas comprometidas exponham arquivos e tokens, possibilitando sequestro de sessões. A Apache recomenda atualização imediata para 3.0.16 ou 4.0.4; mitigação inclui restringir acesso administrativo, rotacionar credenciais e aumentar monitoração.
A CISA republicou o aviso da Johnson Controls sobre CVE-2025-26385, uma falha de SQL injection com CVSS 10.0 que afeta seis produtos de controle industrial (ADS, ADX, LCS8500, NAE8500, SCT, CCT). A exploração pode permitir alteração, exclusão ou exfiltração de dados. Não há registro público de exploração até 27/01/2026; a agência recomenda isolamento de redes, segmentação, uso de VPNs seguras e reporte de atividades suspeitas.
SmarterTools corrigiu duas falhas no SmarterMail, incluindo CVE‑2026‑24423 (CVSS 9.3), uma RCE não autenticada no ConnectToHub API que afeta versões anteriores à build 9511. Instâncias expostas devem ser atualizadas ou isoladas imediatamente.
A SolarWinds liberou atualizações para corrigir vulnerabilidades críticas no Web Help Desk que permitem bypass de autenticação e execução remota de comandos. A recomendação é aplicar os patches imediatamente e restringir exposição das interfaces administrativas até a atualização.
Uma falha crítica no vm2 (CVE-2026-22709, CVSS 9.8) permite escape da sandbox e potencial execução arbitrária no sistema hospedeiro. A versão citada pela fonte é a 3.10.0. Não há indicação pública de exploração em larga escala na matéria; equipes devem identificar usos do vm2, buscar atualizações do mantenedor e aplicar controles de isolamento.
Pesquisadores da FearsOff documentaram um bypass do WAF da Cloudflare via o caminho /.well-known/acme-challenge/, que permitia requisições alcançarem o origin mesmo com regras de bloqueio. A Cloudflare aplicou correção em 27/10/2025 e afirma não ter encontrado evidências de exploração ativa; operadores devem revisar exposição do origin e logs ACME.
Uma falha em Livewire Filemanager (CVE-2025-14894 / VU#650657) permite upload de PHP malicioso e execução remota sem autenticação, especialmente em instalações Laravel com php artisan storage:link. CERT/CC recomenda remover o serving público e aplicar allowlists de upload enquanto fornecedores não se pronunciam.
AppOmni descobriu a vulnerabilidade BodySnatcher (CVE-2025-12420) que permitia a impersonação de qualquer usuário via Now Assist e Virtual Agent API do ServiceNow, explorando tokens idênticos e auto-linking sem MFA. ServiceNow corrigiu e publicou KB2587317.