44 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a web.
Vulnerabilidade XSS no Angular (CVE-2026-32635) expõe milhares de aplicações web. Falha ocorre ao usar i18n em atributos sensíveis. Atualização para versões corrigidas é crítica.
Vulnerabilidade SQLi em plugin WordPress afeta mais de 250 mil sites. Falha permite roubo de dados sem autenticação, exigindo atualização imediata.
Pesquisa da Unit 42 confirma ataques reais de injeção indireta de prompt (IDPI), onde hackers escondem comandos em páginas web para manipular agentes de IA. Técnica já foi usada para burlar sistemas de revisão de anúncios e tentar fraudes financeiras.
A plataforma agentic AI 'Moltbook' expôs toda sua base de dados por uma API pública sem autenticação. A cobertura indica que todos os dados estavam acessíveis, mas não detalha número de usuários afetados, tipos de dados expostos nem se houve exploração ativa. Falta identificação do operador e medidas corretivas públicas.
Vulnerabilidades em pacotes que implementam React Server Components (react-server-dom-*) permitem ataques de negação de serviço. Mantenedores liberaram correções (19.0.4 / 19.1.5 / 19.2.4); equipes devem atualizar e aplicar limites de taxa.
Pesquisa identificou uma nova campanha Magecart que injeta JavaScript ofuscado em sites de e‑commerce para capturar dados de pagamento. Domínios como cc-analytics.com e pstatics.com foram associados ao skimmer; não há números públicos de vítimas divulgados.
Estudo da Reflectiz (4.700 sites) revela que 64% das aplicações de terceiros acessam dados sensíveis sem justificativa. Governo e educação mostram aumento de atividade maliciosa; Google Tag Manager, Shopify e Facebook Pixel aparecem entre os principais vetores citados.
Uma falha crítica no plugin Advanced Custom Fields: Extended (CVE-2025-14533, CVSS 9.8) permitia a criação de contas administradoras via formulários públicos mapeados. Mais de 100.000 sites usam o plugin; o vendor liberou a versão 0.9.2.2 enquanto scanners e WAFs já recebem assinaturas.
Cloudflare anunciou a aquisição da equipe do framework open‑source Astro e lançou a beta pública do Astro 6. A empresa afirma que o projeto seguirá com licença MIT, continuará agnóstico a plataformas e ganhará integrações locais com recursos do Cloudflare como Durable Objects, D1 e KV, além de suporte a CSP e atualização para Zod 4.
Falha crítica (CVE-2026-23550, CVSS 10.0) no plugin Modular DS para WordPress está sendo explorada em ambiente real. Versões até 2.5.1 permitem criação automática de administradores; a versão 2.5.2 corrige o problema. Patchstack registrou tentativas a partir de 13/01/2026 e publicou IOCs.