Editoria
IA, produtos, segurança digital e inovação.
Atualização contínua
Em ordem cronológica
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Falsificação do site de cruz não autenticada (CSRF) no اف conjugal ننن نمل و ن وو امرس (سس سیی او سفاری نی مووری) <= 4.4.5 versões.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. O normalizador padrão do endereço de email usado pelo fluxo de login do email/ link mágico valida o endereço **antes** aplicando a normalização do Unicode. Um endereço pode conter um caracter Unicode que não é um ASCII `@` (U+ 0040 ) mas canoniza para um sob normalização NFKC/NFKD (a normalização comumente aplicada por bibliotecas de e- mail e.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Alocação de recursos sem limites ou vulnerabilidade enfraquecedora em BizimHesap Information Systems Industry and Trade Inc. Software de pré- contagem online permite uma Alocação Excessiva.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. O Lotto permite que a conta SSO não verificada esteja ligada, permitindo que um atacante registre uma identidade em um IdP permissivo usando um email da vítima e obtenha acesso não autorizado à conta da vítima.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Extensão Joomla - phoca.cz - Reflexo da vulnerabilidade XSS no Livro de Visitas de Foca 1.0.0 - 6.1.0 - A validação incorrecta dos dados do usuário leva a uma vulnerabilidade reflexiva do XSS.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Not DNS antes 3.4.10 e 3.5.x antes 3.5.4 contém uma vulnerabilidade no sinal mod- online onde o nome do proprietário seguinte do NSEC pode ser calculado incorretamente. Isto pode criar um intervalo de negação muito amplo, permitindo validar os resolvedores a jusante usando cache negativo agressivo para sintetizar respostas negativas para nomes.
Este conteúdo foi publicado originalmente em 23 de julho de 2026. Um ponteiro NULL dereferência no gerenciador de lista de variáveis nomeada MMS, que pode permitir que um atacante adjacente a rede bloqueie o servidor enviando um WriteRequest com um campo listOfData vazio.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. Microweber CMS através de 2.0.20 contém uma vulnerabilidade transversal de caminho no controlador de arquivos estáticos que permite que os atacantes remotos não autênticos leiam arquivos arbitrários fornecendo sequências transversales de diretório no parâmetro de consulta de caminho. Os atacantes podem enviar um único pedido HTTP GET não autenticado.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. O plug-ins de pagamento para o plug-in de stripe WooCommerce para WordPress é vulnerável ao bypass de autorização em todas as versões até, incluindo, 4.0.7. Isto é devido ao plug- in não verificar corretamente que um usuário está autorizado a executar uma ação. Isto torna possível que os atacantes não autênticos marquem ordens WooCommerce assíncronas.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. O plug-in Ninja Forms – O compilador de formulários de contato que cresce com você para WordPress é vulnerável a injeção SQL genérica através da chave 'de configuração' de Importação de Arquivo em todas as versões até, inclusive, 3.14.9 devido à falta de fuga no parâmetro fornecido pelo usuário e falta de preparação suficiente na consulta SQL.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. Versão do Servidor de Parse >= 9.0.0 antes 9.10.0 - Alfa. 6 e >= 8.2.2 antes 8.6.87 divulgue os nomes de classes de alvo de Pointer e Relation através da validação do GraphQL e mensagens de erro de coerção de entrada quando a introspecção de esquema público está desativada (graphQLPublicIntrospection: false, o padrão). Como esses erros são produzidos.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. Neutralização incorrecta do input durante a geração de páginas da web (' scripting cruzado') da vulnerabilidade no modelo de Software e Serviços de Informação Polen Media permite o XSS refletido.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. ## Sumário `node-tar` (npm `tar`) contém um exaustão de pila de recuperação descontrolada do DoS no ajudante interno `mapHas` usado pelo `filesFilter`. Quando um consumidor chama `tar.t(...)' ou `tar.x(...)' com uma lista de seleção de membros não vazia, o nodo-tar instala um filtro que fecha sobre o recursivo ` mapHas` (`src/list.ts: 33 - 44 `).
Este conteúdo foi publicado originalmente em 24 de julho de 2026. **Título:** As automações agendadas continuam após a desativação do usuário pendente e a revogação do modelo ACL armazenado
Este conteúdo foi publicado originalmente em 24 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: rede: ethtool: phy: evitar o deref NULL quando o driver PHY está desligado o phydev->drv pode se tornar NULL enquanto o dispositivo do phy_ está ainda ligado ao seu dispositivo do net_ device, nomeadamente depois que o driver PHY é desligado via sysfs: eco > /sys/bus/ mdio_bus/drivers/.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: drm/ msm/ dsi: não descarregue registros após a região mapeada Na DSI 6 Plataformas G o espaço de endereço IO é ajustado internamente pelo io_offset. Mais tarde, este endereço ajustado poderá ser usado para o dumping de memória.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: NTB: epf: Evite o pci_iounmap() com desvio quando PEER_SPAD e CONFIG compartilham BAR Quando o BAR_ PEER_SPAD e o BAR_CONFIG compartilham um PCI BAR, o caminho de desmontagem do módulo acaba chamando pci_iounmap() no mesmo iomem com algum desvio, o que é desnecessário e desencadeia um aviso de.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. ### Resumo O login do OIDC SSO da Budibase liga uma identidade SSO entrante a uma conta do Budibase existente **por endereço de e- mail sozinho**, sem nunca verificar a reivindicação `email_verified` do token do ID da OIDC. Budibase tenta primeiro combinar com o IdP `sub`; quando isso falha (qualquer conta IdP do atacante novo) ele silenciosamente.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. Uma injeção de usuário final no fonte de dados MongoDB do Budibase permite que qualquer usuário de aplicativo BASIC contorne os controles de acesso ao nível de consulta do construtor. O alcance dos construtores O MongoDB lê por usuário com acoplamentos como `{"email": "{{ currentUser.email }}"}` assim que cada usuário de aplicativo só vê suas próprias.
Este conteúdo foi publicado originalmente em 24 de julho de 2026. O objetivo de atualização do usuário da API REST (` PUT/ PARCH /api/v 2 / users/ {id}` e o V 1 equivalente) não aplica duas regras de autorização que a interface web aplica. Um usuário que detém a permissão `user_edit_others` mas não é um superusuário pode:
Este conteúdo foi publicado originalmente em 25 de julho de 2026. O Editor de Campos de Checkout para o plugin WooCommerce (Pro) para WordPress é vulnerável ao Traversal do Diretório em todas as versões até, e incluindo, 3.7.7 através do parâmetro 'thwcfe_legacy_file'. Isto permite que os atacantes autenticados, com acesso ao nível de subscritor e acima, leiam o conteúdo de arquivos arbitrários no servidor, que.
Este conteúdo foi publicado originalmente em 25 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: RDMA/rtrs-srv: Comprimento de RDMA-Write ligado ao tamanho do pedaço no rdma_write_sg Quando o servidor responde a uma LEI RTRS, o rdma_write_sg() compila a entrada fonte scatter/colhe para o IB_WR_RDMA_WRITE que retorna dados para o pair. O seu comprimento é tirado diretamente do descritor de.
Este conteúdo foi publicado originalmente em 25 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: KVM: SEV: Pin página fonte para gravação ao adicionar dados CPUID para convidado SNP Ao compilar uma instância guest_memfd com os dados CPUID iniciais para um hóspede SNP, adquira um pino gravable na página fonte, pois o KVM irá escrever de volta a informação CPUID "correta" se o espaço de.
Este conteúdo foi publicado originalmente em 25 de julho de 2026. No kernel Linux, a seguinte vulnerabilidade foi resolvida: exfat: o avanço uniname vinculado em exfat_find_dir_entry() Em exfat_find_dir_entry(), cada entrada TYPE_EXTEND (nome do arquivo) avança o ponteiro de saída por uma quantidade fixa enquanto a guarda de loop apenas rastreia o comprimento do nome acumulado: if (ordem++) 2 ) uniname = p_uniname->.