Traduzido do inglês pela TechUpscale com ajuda de IA e verificado com o original. Ler o original em inglês
A National Vulnerability Database (NVD) publicou 9 CVEs classificados como Críticos sob o CVSS v3 nas 26 horas anteriores a este relatório. As descrições abaixo são citadas diretamente da NVD. As pontuações são pontuações de base da NVD ou CNA; confirme sempre com o aviso do fornecedor antes de priorizar.
CVEs Críticos (NVD)
| CVE | CVSS | Descrição (NVD) |
|---|---|---|
| CVE-2026-120198 | 10 | Foi encontrada uma vulnerabilidade no WAVLINK WL-WN530BE1-A V251117. A função afetada é con_check_read_finish do ficheiro /protocol.csp. Tal manipulação do argumento group_name/IP-FROM leva a injeção de comandos. É possível lançar o ataque remotamente. O exploit foi divulgado ao público e pode ser usado. O fornecedor foi contactado antecipadamente sobre esta divulgação. |
| CVE-2026-120195 | 10 | Foi detetada uma vulnerabilidade de segurança no WAVLINK WL-WN579A3-A 2026-03-10-94f93d4. O elemento impactado é a função set_wzdgwMesh do ficheiro /cgi-bin/adm.cgi do componente Initial Setup Wizard. A manipulação do argumento wlan_ssid leva a injeção de comandos de os. O ataque pode ser realizado remotamente. O exploit foi divulgado publicamente e pode ser usado. O fornecedor foi contactado antecipadamente … |
| CVE-2026-120189 | 10 | Foi identificada uma vulnerabilidade no D-Link DIR-505 1.10B02. A função afetada é save_upload_file/mp_upload_file do ficheiro /usr/bin/tftpd do componente TFTP Upload Filename Handler. A manipulação leva a estouro de buffer baseado em pilha. O ataque pode ser realizado remotamente. O exploit está publicamente disponível e pode ser usado. |
| CVE-2026-120224 | 9.9 | Foi descoberta uma falha de segurança no Oray Pugongying X5 Pro até 7.6.1. A função afetada é run_apis_by_json/run_async_task do componente API Authorization. A manipulação resulta em autorização inadequada. O ataque pode ser lançado remotamente. O exploit foi lançado para o público e pode ser usado para ataques. O fornecedor foi contactado antecipadamente sobre esta divulgação, mas não respondeu de nenhuma forma. |
| CVE-2026-120197 | 9.9 | Foi encontrada uma falha no WAVLINK WL-WN530HG4B M_V260724. Isto impacta a função port_forward do ficheiro /cgi-bin/wapi.cgi. Esta manipulação do argumento Name causa injeção de comandos de os. É possível iniciar o ataque remotamente. O exploit foi publicado e pode ser usado. O fornecedor foi contactado antecipadamente sobre esta divulgação. |
| CVE-2026-120196 | 9.9 | Foi detetada uma vulnerabilidade no WAVLINK WN579X3-D V250402. Isto afeta a função port_forward do ficheiro /cgi-bin/wapi.cgi. A manipulação do argumento Name resulta em injeção de comandos de os. O ataque pode ser realizado remotamente. O exploit é agora público e pode ser usado. O fornecedor foi contactado antecipadamente sobre esta divulgação. |
| CVE-2026-120209 | 9.8 | O AJ-Report até 1.7.1 assina tokens de partilha com um segredo JWT hard-coded, permitindo que os atacantes falsifiquem Share-Tokens válidos offline. Os atacantes podem criar um token com reportCode 'dataSet' para aceder ao endpoint testTransform, que passa scripts para o GroovyClassLoader para execução remota de código não autenticada. |
| CVE-2026-120201 | 9.8 | O Jpom 2.10.0 até 2.11.12 contém uma vulnerabilidade de contorno de autenticação que permite a atacantes não autenticados obter acesso de superadministrador injetando condições de consulta no cabeçalho JPOM-USER-TOKEN. Os atacantes podem enviar um valor como 'is not null', que o analisador de condições do Hutool trata como um operador, e depois executar comandos através das funcionalidades de script do Jpom. |
| CVE-2026-120225 | 9.1 | Foi identificada uma fragilidade no Oray Pugongying X5 Pro até 7.6.1. Afetada por esta vulnerabilidade está a função config_restore_ex do ficheiro /etc/openwrt_release. Esta manipulação do argumento filename causa travessia de caminho relativo. O ataque pode ser iniciado remotamente. O exploit foi disponibilizado ao público e pode ser usado para ataques. O fornecedor foi contactado antecipadamente sobre esta divulgação, mas… |
Novos avisos de CERTs e fornecedores
Microsoft MSRC
- Chromium: CVE-2026-118340 Corrupção de memória em Skia
- Chromium: CVE-2026-118336 Validação de entrada inadequada em Headless
- Chromium: CVE-2026-118338 Use after free em Animation
- Chromium: CVE-2026-118354 Validação de entrada inadequada em Skia
- Chromium: CVE-2026-118358 Corrupção de memória em WebAudio
- Chromium: CVE-2026-118346 Use after free em Compositing
- Chromium: CVE-2026-118350 Use after free em Turbolev
- Chromium: CVE-2026-118316 Validação de entrada inadequada em V8
- Chromium: CVE-2026-118318 Controlo de acesso inadequado em V8
- Chromium: CVE-2026-118315 Validação de entrada inadequada em SVG
- Chromium: CVE-2026-118312 Corrupção de memória em Paint
- Chromium: CVE-2026-118317 Corrupção de memória em HTML
- Chromium: CVE-2026-118311 Corrupção de memória em Media
- Chromium: CVE-2026-118313 Use after free em Video
- Chromium: CVE-2026-118304 Validação de entrada inadequada em SVG
- Chromium: CVE-2026-118308 Use after free em SVG
- Chromium: CVE-2026-118344 Use after free em Layout
- Chromium: CVE-2026-118310 Validação de entrada inadequada em Views
- Chromium: CVE-2026-118348 Validação de entrada inadequada em Skia
- Chromium: CVE-2026-118305 Corrupção de memória em Turbolev
- Chromium: CVE-2026-118352 Corrupção de memória em Cache
- Chromium: CVE-2026-118307 Use after free em Paint
- Chromium: CVE-2026-118356 Use after free em WTF
- Chromium: CVE-2026-118306 Corrupção de memória em FileSystem
- Chromium CVE-2026-91732: Autorização em falta
Mais 25 da Microsoft MSRC; consulte o link da fonte abaixo.
Debian
- DSA-6599-1 nss – atualização de segurança