Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Em JetBrains GoLand antes 2026.2 valores de configuração sensíveis escritos para arquivos de log por padrão
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Em JetBrains WebStorm antes 2026.2 a execução arbitrária de código foi possível antes de conceder a confiança do projeto através de ferramentas de gerenciamento de pacotes do projeto local
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Função personalizada do Forgery de solicitação lateral do servidor (SSRF) no JetBooking <= 4.1.2 versões.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Controle de Acesso Roto não autenticado no Controle de Conteúdo <= 2.6.5 versões.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. `next-auth` (Auth.js) v 5 os aplicativos que acessem por portãos, verificando somente a **existência** do objeto `auth` — o padrão mostrado no guia oficial [gestão de sessão / proteção de recursos] ( started/session-management/protectioning) — são afetados.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Arquivo GFI antes 15.13 contém uma vulnerabilidade de scripts cruzados armazenada na configuração da Política de Retenção que permite que os atacantes autenticados injetem script arbitrário na web ou HTML através do parâmetro nome da política para /Archiver/ RetentionPolicyWizard.aspx. A carga útil injetada é armazenada por.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Meshery antes 1.0.57 contém um arquivo arbitrário não autenticado que leia vulnerabilidade no /api/system/ fileView e /api/ system/ fileDownload endpoints que passam os parâmetros de arquivo fornecidos pelo usuário diretamente para os. Abrir sem validação do caminho. Os atacantes podem fornecer caminhos absolutos ou sequências de travessia no.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. versões FFmpeg 3.4 através 8.1.2 conter uma vulnerabilidade de gravação fora de limites no filtro de vídeo vf_floodfill que permite aos atacantes corromper a memória do pilha, fornecendo um fluxo de vídeo de tamanho dinâmico com a reiniciação do filtro desativada via - reinit_filter 0. Quando config_ input() alocar a pilha de pontos transversal com.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. Versão IntraVUE do Pronetiqs 3.2.1 a 14 e anterior têm uma vulnerabilidade de força de criptografia inadequada que pode permitir que um atacante roube credenciais de administrador através de hash fraco ou um ataque pass- the- hash.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. Várias vulnerabilidades de segurança nas versões de Snowflakeclient libsnowflakeclient antes do 2.9.2 poderia permitir a execução de código remoto e a exfiltração de credenciais. Um buffer baseado em pilha sobrecarga no caminho de download do arquivo pode permitir a execução de código remoto em um hospedeiro vítima. Um atacante poderá explorar isso.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. Uma falha foi encontrada na funcionalidade de notificação do Red Hat Quay. Os gestores de notificações Slack e webhook genéricos aceitam URLs fornecidos pelo usuário sem validação SSRF, permitindo que um administrador de repositório faça com que os pedidos do trabalhador do Quay sejam enviados para endereços de rede interna ou endpoints de.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. O plug-in do VikBooking Hotel Booking Engine & PMS para WordPress é vulnerável ao script de sites armazenados através do parâmetro 'vbfX' em todas as versões até, e incluindo, 1.8.13 devido à falta de sanidade de entrada e fuga de saída. Isto torna possível que os atacantes não autenticados injetem scripts arbitrários na web em páginas que serão.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. Nota: O CVE e o post do blog não existem porque nós determinamos que este é realmente um problema somente na nuvem.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. Jan até 0.8.4, corrigido em commit 3 e 1 c 1 e 7, contém uma vulnerabilidade de configuração errónea do CORS em seu servidor API local que permite que atacantes adjacentes à rede contornem restrições de host confiável explorando a substituição do servidor de host confiável configurado pelo usuário com um comodinho que reflete origens arbitrárias com.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. ## Resumo O 'insafe_git_clone_options` de GitPython omite `-- template`. `git clone -- template= ` cópias ` /hooks/` no novo repositório e executa- os (fogos `post- checkout` durante o clone), para que um chamador que pode influenciar as opções de clone possa alcançar a execução arbitrária de comandos na configuração padrão ` allow_ unsafe_options=.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. ` POST / api/ v 1 /images/ edit` não realizou autorização além de exigir uma conta verificada. Cada outra superfície de edição de imagens no WebUI Aberto aplica o switch global de edição de imagens e a permissão de geração de imagens por usuário — o `/api/v 1 /images/generations` route, a ferramenta 'edit_image` incorporada e o middleware de edição de.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: netfs: corrigir potencial UAF no netfs_unlock_abandoned_read_pages() netfs_unlock_bandonded_read_pages(rreq) acede ao índice dos folios que quer desbloquear e compara com o rreq->no_unlock_folio para que ele não desbloqueie um folio sendo lido para o netfs_perform_write() ou o.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: i 2 c: davinci: corrigir divisão por zero na frequência do relógio faltando Quando a propriedade 'clock-frequence' falta na árvore do dispositivo, o driver cai de volta para DAVINCI_I 2 C_DEFAULT_BUS_FREQ. No entanto, esta macro foi definida em kHz ( 100 ), enquanto a propriedade árvore do.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. sysPass através da versão 3.2.11 contém uma vulnerabilidade de autorização que falta que permite que os usuários autenticados com a bandeira de perfil PUBLICLINK_ CREATE desencadeiem a desencriptação não autorizada e o armazenamento persistente da senha de qualquer conta de cofre, explorando a ausência de verificações da AccountAcl no fluxo de criação.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. O administrador configurado `WEB_FETCH_FILTER_LIST` (a lista de allow/blocks aplicada a buscas na web do lado do servidor: ingestão de URL RAG, URL- a- marcar, busca de conteúdo na web) corresponde incorretamente aos nomes de host, para que o filtro possa ser contornado.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. Poweradmin mapeia identidades OIDC em usuários locais através de `oidc_user_links.oidc_subject` mais `provider_id`. No esquema MySQL, a tabela de links OIDC usa explicitamente `utf 8 mb 4 _ unicode_ci`, que é insensível a caso e insensível a sotaque. O sub- sub- OIDC é um identificador de assunto externo estável e deve ser combinado byte- for-byte.
Este conteúdo foi publicado originalmente em 25 de julho de 2026. O Yoast SEO – SEO avançado com orientação em tempo real e plug-in de IA incorporado para WordPress é vulnerável ao script de sites armazenados através do Post Slug (post_name) em todas as versões até, e incluindo, 28.0 devido à falta de sanidade de entrada e fuga de saída. Isto torna possível que os atacantes autenticados, com acesso ao nível do autor.
Este conteúdo foi publicado originalmente em 25 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: Entrada: synaptics- rmi 4 - vinculado ao F 30 Mapa de teclado para o contagem GPIO/LED rmi_f 30 _map_gpios() aloca gpioled_key_map com min(gpioled_count, TRACKSTICK_RANGE_END) == no máximo 6 entradas, mas rmi_f 30 _atenção() itera o f completo 30 ->gpioled_count (registro de consultas do.
Este conteúdo foi publicado originalmente em 25 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: KVM: guest_memfd: Tratar o offset de ligação de memslots+size como valores não assinados Ao ligar um memslot a um arquivo guest_ memfd, trate o desvio e tamanho como valores não assinados para corrigir um erro onde a soma dos dois pode resultar em um falso negativo ao verificar se o excedente.