Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 20 de julho de 2026. O plugin WordPress de ThumbPress antes 6.2.2 não realiza uma verificação de capacidade em uma de suas ações AJAX, permitindo que usuários autenticados com acesso ao nível de subscritor ou superior desativar o plugin WordPress ThumbPress antes 6.2.2, interrompendo a funcionalidade de manipulação de imagens do site.
Este conteúdo foi publicado originalmente em 20 de julho de 2026. Versões SurrealDB antes 3.1.0 conter uma vulnerabilidade de contornação de permissão de nível de campo nas operações de parches JSON que permite que os usuários autenticados leiam campos protegidos. Os atacantes podem usar o UPDATE PATCH com um ponteiro vazio na cópia ou na movimentação de operações para duplicar todos os campos de registro, incluindo.
Este conteúdo foi publicado originalmente em 20 de julho de 2026. FreeRDP antes 3.28.0 (afetado) 3.x através 3.27.1 ) contém uma vulnerabilidade duplamente livre no freerdp_client_rdp_file_apply_to_settings() (client/common/file.c) ao analisar o campo de monitores selecionados de um arquivo de conexão.rdp. O array MonitorIds é alocado através do objeto de configurações, e um pontor bruto não- possuidor para ele é.
Este conteúdo foi publicado originalmente em 20 de julho de 2026. Vibilidade do diretório de traversal no Menyoo 2.0 versões antes de enviar 729 aa 48: fixo no commit 729 aa 48 permite que um atacante local execute código arbitrário através do gerenciamento de arquivos Spooner, funcionalidade de salvamento/palabragem/renome do VeículoSpawner, funcionalidade de salvamento/palabragem/renome do ArmamentoOpções.
Este conteúdo foi publicado originalmente em 20 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: i 2 c: i 801: corrigir a corrupção da máquina do estado do hardware no caminho de erro Um grave bloqueio e subsequente pânico de tarefa Hung foram observados no i 2 c- i 801 driver durante o Fuzzing concomitante. O crash é causado por uma limpeza incondicional do registro de hardware no.
Este conteúdo foi publicado originalmente em 20 de julho de 2026. ### Expansão de brace-expansão de resumo exibe tempo exponencial - O( 2 n) - comportamento no número de grupos consecutivos {} não expansivos. Uma entrada curta, de todas as-ASCII (~ 90 bytes/ 30 grupos) bloqueia o thread de chamada por minutos; uma entrada ligeiramente mais longa o pendura efetivamente indefinidamente. Como os consumidores dominantes.
Este conteúdo foi publicado originalmente em 20 de julho de 2026. A extensão Joomla Quix Page Builder Pro é vulnerável a uma execução de código PHP autenticada. O usuário do construtor autenticado (core.create/core.edit) pode injetar etiquetas PHP no conteúdo de elementos, que foram executadas através da caixa- vista include(). Requer o cache (por omissão).
Este conteúdo foi publicado originalmente em 20 de julho de 2026. Net:: versões DNS através 1.55 para Perl permitir a injeção de execução remota através do ERROR EXTENSO DE EDNS.
Este conteúdo foi publicado originalmente em 20 de julho de 2026. ## Sumário Quando o ISR está ativado, o ponto de entrada sem servidor permite que um pedido não autêntico decida qual rota a origem renderiza. A função interna `_isr` lê o parâmetro de consulta `x_astro_path` e reescribe o caminho de solicitação para ele sem qualquer autenticação. Os controles de acesso ao nível de borda só podem ver o caminho.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. O plugin Grav CMS scheduler- webhook contém uma vulnerabilidade de contornação de autenticação que permite que os atacantes remotos não autênticos ativam tarefas agendadas configuradas explorando uma falha lógica de curto- circuito na validação do token do webhook. Os atacantes podem enviar um único pedido POST não autenticado para o endpoint do.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. O HCL DevOps Plan é suscetível a uma divulgação de informações que permita que um atacante concentre seus ataques com base nas informações reveladas.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. Uma falha foi encontrada na libssh. Durante a listagem da pasta do servidor SFTP, o campo de nome longo é construído com concatenação insegura em um buffer de pilha de tamanho fixo. Quando um cliente faz com que o servidor liste nomes de arquivos controlados pelo atacante, nomes suficientemente longos podem sobrecarregar o buffer da pilha e podem.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. Escalada de privilégios no componente DOM: Navegação. Esta vulnerabilidade foi corrigida no Firefox 153.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. Escape de Sandbox no componente DOM: Networking. Esta vulnerabilidade foi corrigida no Firefox 153.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. Edição de fala no Firefox para Android. Esta vulnerabilidade foi corrigida no Firefox 153.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. Proxy ou intermediary não intencional ('Adjunto Confundido') (CWE- 441 ) no Kibana pode levar a exposição de informações não autorizadas via Acesso Funcionalidade Não Devidamente Constrinada por ACLs (CAPEC- 1 ). Em certas condições, um usuário com menores privilégios pode causar que dados de fontes que não estão autorizados a acessar sejam.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. O servidor API compatible com OpenAI do lmdeploy contém uma vulnerabilidade de falsificação de pedidos do lado do servidor que permite que os atacantes não autênticos acessem aos serviços internos e aos metadados na nuvem fornecendo um image_url criado que redireciona para alvos internos. Os atacantes podem enviar um pedido POST para o final de.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. MediaCMS 8.2.0 contém uma vulnerabilidade de divulgação de informações que permite que usuários autentificados exponham metadados de mídia privada pertencentes a outros usuários adicionando tokens de mídia arbitrários à sua própria lista de reprodução sem cheques de controle de acesso. Os atacantes podem emitir um pedido PUT para o objetivo da API da.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. Dados::Intern::: versões compartilhadas antes 0.02 para Perl permitir que um fora- de- limites lida através de slots não validados, índices de reversão e arena em si_idx_find.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. O Tânium abordou uma vulnerabilidade de divulgação de informações no Connect. Registro de aconselhamento: GHSA-w 2 w 5 - 6 rpf- f 2 w 8.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. Consumo de Recursos Não Controlado (CWE- 400 ) em Kibana pode levar à negação de serviço através de Alocação Excessiva (CAPEC- 130 ). Um usuário autentificado de baixas privilegiadas pode explorar uma vulnerabilidade de consumo de recursos descontrolada na funcionalidade Canvas do Kibana, enviando um pedido especialmente criado, fazendo com que o.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. Autel Maxi Charger Firmware único através de V 1.03.51 contém um token de autenticação codificado com hard que evita cheques de autorização para múltiplos endpoints de gestão. Um atacante pode fornecer o valor de símbolo especial para invocar funcionalidades privilegiadas sem autenticação válida.
Este conteúdo foi publicado originalmente em 21 de julho de 2026. HTML do Loofah 5 Sanatizer restritou apenas o atributo `xlink:href` em determinados elementos SVG para referências locais, do mesmo documento. Os navegadores também aceitam um atributo simples `href` como alternativa ao `xlink:href` depreciado pelo SVG 2 Spec, mas o Loofah não aplicou a mesma restrição, permitindo que esses elementos façam referência.
Este conteúdo foi publicado originalmente em 22 de julho de 2026. Vulnerabilidade no Oracle Java SE (componente: JSSE). As versões suportadas que são afetadas são Oracle Java SE: 8 u 491, 8 u 491 -perf, 11.0.31, 17.0.19, 21.0.11, 25.0.3, 26.0.1; Oracle GraalVM para JDK: 17.0.19 e 21.0.11; Edição Enterprise Oracle GraalVM: 21.3.18. Difícil explorar a vulnerabilidade permite que o atacante não autêntico com acesso à.