Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. O plug-in WordPress para reservas e eventos antes 2.4.4 não restringe quais campos podem ser escritos através da importação do cliente, permitindo que um usuário com o papel de Gerenciador Amelia modifique colunas arbitrárias de qualquer registro de usuário armazenado, fornecendo- os no pedido de importação.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. O Gerenciador de Tags Pixel para o plugin WordPress WooCommerce antes 2.2.1 não realiza uma verificação de autorização em uma de suas ações AJAX, permitindo que usuários não autenticados enviem eventos falsificados de conversão de comércio eletrônico para as API de conversão de publicidade configuradas do lado do servidor do site usando as credenciais.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. O Powerkit – Supercarregue o seu plug-in WordPress Site para WordPress é vulnerável a gravação de sites cruzados armazenados através de atributos de código curto em todas as versões até, e incluindo, 3.1.0 devido à falta de sanidade de entrada e fuga de saída. Isto permite que os atacantes autenticados, com acesso ao nível do colaborador e acima.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. O plug- in do compilador de formulários fluentes – formulários de contato personalizáveis, pesquisa, quiz e conversacional para WordPress é vulnerável ao script de sites cruzados refletidos através do 'param' em todas as versões até, incluindo, 6.2.8 devido à falta de sanidade de entrada e fuga de saída. Isto torna possível que os atacantes não.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. FreeRDP antes 3.29.0 (versão afetada <= 3.28.0 ) contém várias falhas de validação de identidade de certificado TLS no tls_verify_certificate(), tls_match_hostname(), e x 509 _utils_get_dns_names(). Porque FreeRDP executa nome comum personalizado e DNS SAN correspondência de string em vez de usar as APIs de validação de identidades de.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. versões axios 1.15.0 antes 1.18.0 falha em reconhecer 0.0.0.0 como endereço de loopback em deveBipassProxy.js, permitindo que as solicitações 0.0.0.0 para contornar as regras NO_ PROXY. Os atacantes podem fornecer 0.0.0.0 URLs para encaminhar as solicitações através de proxies configurados, potencialmente expondo serviços locais quando o proxy pode.
Este conteúdo foi publicado originalmente em 1 de agosto de 2026. @better-auth/oauth- provider antes 1.7.0 -Beta. 4 não consegue ligar o público de tokens de acesso à concessão de autorização, permitindo aos clientes solicitar tokens para recursos não relacionados. Os atacantes podem completar um fluxo de OAuth e obter tokens de acesso cujo público almeja servidores de recursos a autorização nunca coberta, não se.
Este conteúdo foi publicado originalmente em 2 de agosto de 2026. O plug-in King Addons para Elementor WordPress antes 51.1.76 não escapa a uma configuração de grade fornecida pelo usuário antes de refleti- la em um atributo HTML em uma resposta AJAX não autenticada, permitindo que os atacantes executem JavaScript arbitrário no navegador de um visitante que é enganado para carregar uma página criada.
Este conteúdo foi publicado originalmente em 2 de agosto de 2026. O plugin WordPress da Editora Narrativa através 1.0.7 não restringe o acesso à escrita a um campo de meta post exposto ao REST ou não o escapa ao renderizar, permitindo que os usuários com acesso ao nível do colaborador e acima armazenam o JavaScript que executa no navegador de qualquer usuário privilegiado que veja o post afetado.
Este conteúdo foi publicado originalmente em 2 de agosto de 2026. luci-app-adblock-fast antes 1.2.4 - 4 contém uma vulnerabilidade de scripts cruzados armazenada no campo de nome da lista de blocos que permite que usuários privilegiados mais baixos injetem HTML ativo. Quando um administrador visualiza a página de status do AdBlock Fast, a carga útil injetada se executa no navegador do administrador sob a origem do.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. No driver AP do wlan, há uma possível saída dos limites gravados devido a uma verificação dos limites que faltam. Isto pode levar a escalada remota (proximal/ adjacente) do privilégio sem nenhum privilégio adicional de execução necessário. A interação do usuário não é necessária para a exploração. ID do parche: WCNCR 00489200; ID da questão: MSV- 7834.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. Na exibição, há uma possível divulgação de informações devido a um excesso de número inteiro. Isto pode levar à divulgação de informações locais se um ator malicioso já tiver obtido o privilégio do Sistema. A interação do usuário não é necessária para a exploração. Identificação do parche: ALPS 11004274; ID da questão: MSV- 7749.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. Na gêniona, há uma possível saída dos limites gravados devido a uma verificação dos limites faltando. Isto pode levar a escalada local do privilégio se um ator malicioso já tiver obtido o privilégio do Sistema. A interação do usuário não é necessária para a exploração. Identificação do parche: ALPS 10965373; ID da questão: MSV- 6935.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. Uma falha foi encontrada no GIMP. Um atacante remoto pode explorar isso enganando um usuário para abrir um arquivo de imagem PAA (Paint Shop Pro Array) especialmente criado. Esta vulnerabilidade, um plug- in de formato de arquivo PAA baseado em pilhas, permite que os dados sejam escritos além do buffer de memória pretendido. Isto pode levar a.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. Versões SiYuan antes do v 3.7.3 conter uma vulnerabilidade de divulgação de informações no getHeadingDeleteTransaction, getHeadingLevelTransaction e getHeadingInsertTransaction endpoints que retornam o bloco DOM tornado sem cheques de publicação- acesso. Leitores anônimos ou publicar tokens RoleReader podem fornecer um ID de bloco de cabeçalho para.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. Admidio antes 5.0.11 contém uma vulnerabilidade de referência direta de objeto inseguro no modo save_temporário do mylist_function.php que permite que usuários autenticados sequestrem configurações de listas. Os atacantes podem enumerar listas globais UUIDs e sobrescrever listas globais curadas por administrador ou listas privadas de outros usuários.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. Uma fraqueza foi identificada no Razer RzUpdateService 1.10.14.0. Afetado por esta vulnerabilidade é uma funcionalidade desconhecida do arquivo C:\Program Files (x 86 )\Razer\RzUpdateEngineService\RzUpdateService.exe do componente nomeado "Pipe Handler". Executar uma manipulação do argumento lpThreadParameter pode levar a uma gestão de privilégios.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. Um pacote especialmente criado Socket.IO pode fazer com que o servidor espere por um grande número de anexos binários e buffer- os, que podem ser explorados para que o servidor fique sem memória.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. Uma falha de segurança foi descoberta no langgenius dify até 1.14.2. Esta questão afeta a função jinja 2.Templado do arquivo api/core/helper/code_executor/jinja 2 / jinja 2 _transformer.py do componente Jinja 2 Manejador. A manipulação resulta em neutralização inadequada de elementos especiais usados em um motor de modelo. O ataque pode ser lançado.
Este conteúdo foi publicado originalmente em 3 de agosto de 2026. Um problema no componente CF_CFDP_RecvMd() da NASA cFS v 7.0.1 permite que os atacantes contrl onde o conteúdo e dados recebidos são armazenados, possivelmente levando a uma divulgação de informações.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. O Adobe Campaign Classic (ACC) é afetado por uma Neutralização Incorreta das Diretrizes na vulnerabilidade do Código Dinâmicamente Avaliado ('Injeção Eval') que pode resultar em execução arbitrária de código no contexto do usuário atual. Um atacante de baixas privilégios pode explorar esta vulnerabilidade para executar código arbitrário. A exploração.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. Um defeito no Node.js permite que um 'byteLength' '' spoofed `TypedArray`` ativa uma afirmação acessível nas APIs 'node:zlib's síncronas, causando o colapso de todo o processo. Todos 11 As funções zlib síncronas são afetadas.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. O plugin WordPress da Galeria do Concurso antes 30.0.7 não executa qualquer capacidade ou nãoce check em um dos seus manipuladores, permitindo que qualquer usuário autenticado até o Assinante leia todo o histórico de prompt OpenAI armazenado do site.
Este conteúdo foi publicado originalmente em 4 de agosto de 2026. O Widget de Chat: Botão de Suporte ao Cliente Flutuante para 30 + Canais, SMS de suporte, chamadas e chat WordPress plugin antes 1.8.2 não valida o tipo, extensão, conteúdo ou tamanho dos arquivos enviados ao seu objetivo de resposta pública e armazena- os no diretório de uploads, para que um usuário não autêntico possa upload de arquivos arbitrários.