Feed de ameaças
Vulnerabilidades exploradas ativamente (CISA KEV), as mais recentes primeiro — cada uma com sua probabilidade de exploração (EPSS) e gravidade (CVSS) para que você possa decidir, do ponto de vista da defesa, «devo corrigir isto agora?».
Uma vulnerabilidade de estouro de buffer baseada em heap no Fortinet FortiOS 7.6.0 até 7.6.3, FortiOS 7.4.0 até 7.4.8, FortiOS 7.2.0 até 7.2.11, FortiOS 7.0.0 até 7.0.17, FortiOS 6.4 (todas as versões), FortiSwitchManager 7.2.0 até 7.2.6 e FortiSwitchManager 7.0.0 até 7.0.5 permite que um atacante execute código ou comandos não autorizados por meio de pacotes especialmente criados.
Adicionada à KEV: 2026-09-09Oficial (NVD) →Escrita fora dos limites (out-of-bounds) no V8 do Google Chrome em versões anteriores à 153.0.8010.36 permitia que um atacante remoto executasse código arbitrário dentro do sandbox por meio de uma página HTML maliciosamente construída. (Gravidade de segurança do Chromium: Média)
Adicionada à KEV: 2026-09-09Oficial (NVD) →O Adobe Commerce é afetado por uma vulnerabilidade de Neutralização Impropriada de Elementos Especiais Usados em um Motor de Templates, que pode resultar em execução arbitrária de código no contexto do usuário atual. Um atacante poderia explorar essa vulnerabilidade para executar código arbitrário. A exploração dessa falha não requer interação do usuário. O escopo foi alterado.
Adicionada à KEV: 2026-09-08Oficial (NVD) →N-central é vulnerável a uma execução remota de código sem autenticação prévia. Este problema afeta o N-central: versões anteriores a 2026.3.1.14.
Adicionada à KEV: 2026-09-08Oficial (NVD) →Resolução inadequada de links antes do acesso a arquivos ('link following') na pilha do Windows Update permite que um atacante autorizado eleve privilégios localmente.
Adicionada à KEV: 2026-09-08Oficial (NVD) →Overflow de buffer baseado em heap no ALPC do Windows permite que um atacante autorizado eleve privilégios localmente.
Adicionada à KEV: 2026-09-08Oficial (NVD) →Confusão de tipos no V8 no Google Chrome anterior à versão 152.0.7977.82 permitia que um atacante remoto executasse código arbitrário dentro do sandbox por meio de uma página HTML maliciosa criada especificamente. (Gravidade de segurança no Chromium: Alta)
Adicionada à KEV: 2026-09-04Oficial (NVD) →Starlette é um framework/toolkit ASGI leve. Em versões anteriores à 1.0.1, o cabeçalho HTTP `Host` não era validado antes de ser usado para reconstruir `request.url`. Como o algoritmo de roteamento usa o caminho HTTP bruto enquanto `request.url` é reconstruído a partir do cabeçalho `Host`, um cabeçalho malformado poderia fazer com que `request.url.path` difirisse do caminho realmente solicitado. Middlewares e endpoints que aplicam restrições de segurança com base em `request.url` (em vez do caminho bruto presente em `scope`) poderiam, portanto, ser contornados. Os usuários devem atualizar para a versão 1.0.1 ou superior, que valida o cabeçalho `Host` segundo a gramática de RFC 9112 §3.2 / RFC 3986 §3.2.2 ao construir `request.url` e, em caso de valores malformados, recorre a `scope["server"]`.
Adicionada à KEV: 2026-09-02Oficial (NVD) →Uma vulnerabilidade SSRF pré-autenticação existe na interface Work Place do appliance SMA1000 devido a um caminho alternativo de acesso não intencional. Um atacante remoto não autenticado poderia potencialmente explorar essa vulnerabilidade para obter acesso não autorizado a funcionalidades sensíveis e realizar operações não autorizadas.
Adicionada à KEV: 2026-09-02Oficial (NVD) →Uma vulnerabilidade de injeção SQL sem autenticação existe no Sangoma Switchvox SMB Edition 8.3 (104997). O endpoint /pa processa conteúdo XML que começa com <PolycomIPPhone> e concatena diretamente o valor PhoneIP controlado pelo usuário em consultas PostgreSQL sem sanitização ou parametrização. Um atacante remoto não autenticado pode executar instruções SQL arbitrárias contra o banco de dados PostgreSQL backend usando uma única requisição forjada, incluindo operações no banco de dados e execução remota de código.
Adicionada à KEV: 2026-09-02Oficial (NVD) →O JFrog Artifactory contém uma fraqueza de autenticação que, na configuração padrão, pode permitir que um atacante não autenticado com acesso à rede obtenha privilégios administrativos.
Adicionada à KEV: 2026-09-02Oficial (NVD) →Foi identificada uma vulnerabilidade de Neutralização Imprópria de Elementos Especiais usados em um Comando do SO pós-autenticação (Injeção de Comando do SO) no SMA1000 Appliance Management Console (AMC) que, em condições específicas, pode permitir que um atacante remoto autenticado com privilégios de administrador execute comandos arbitrários do sistema operacional, resultando em execução remota de código.
Adicionada à KEV: 2026-09-02Oficial (NVD) →Kestra é uma plataforma de orquestração orientada a eventos e de código aberto. Em versões anteriores a 1.0.45 e 1.3.21, o AuthenticationFilter no Kestra OSS utiliza request.getPath().endsWith("/configs") para permitir que o endpoint público de configurações contorne a autenticação Basic Auth. Como a verificação é um teste de sufixo em vez de uma correspondência exata de caminho, qualquer rota de API cujo último segmento seja "configs" ignora totalmente a autenticação. Um atacante remoto não autenticado pode explorar isso para criar e executar workflows arbitrários sem credenciais. Como o Kestra é distribuído com plugins de execução de scripts (plugin-script-shell, plugin-script-python, etc.) ativados por padrão, isso resulta diretamente em execução remota de código (RCE) não autenticada como root dentro do contêiner do worker do Kestra. Esta vulnerabilidade foi corrigida nas versões 1.0.45 e 1.3.21.
Adicionada à KEV: 2026-09-02Oficial (NVD) →LiteLLM é um servidor proxy (AI Gateway) para chamadas a APIs de LLM no formato OpenAI (ou nativo). Em versões anteriores à 1.84.0, o endpoint HTTP MCP Streamable do LiteLLM permitia que um atacante não autenticado utilizasse um cabeçalho Authorization forjado para acionar um caminho de fallback de passagem do OAuth2 que substituía a validação de chave do LiteLLM, quando esta falhava, por um objeto vazio UserAPIKeyAuth(), permitindo que requisições alcançassem ferramentas MCP sem uma chave LiteLLM válida. Esta falha foi corrigida na versão 1.84.0.
Adicionada à KEV: 2026-09-02Oficial (NVD) →Uma vulnerabilidade de controle de acesso inadequado existe na interface de gerenciamento web do PaperCut MF e PaperCut NG. Sob condições específicas, requisições remotas não autenticadas direcionadas a funções administrativas podem acionar ações no backend antes da conclusão das verificações de validação de acesso. Isso permite que um atacante remoto não autenticado modifique certas configurações do sistema.
Adicionada à KEV: 2026-08-31Oficial (NVD) →Uma vulnerabilidade de carregamento dinâmico de classes inseguro existe nas utilidades de conexão com banco de dados do PaperCut MF e PaperCut NG. A aplicação instancia classes de driver de banco de dados com base em nomes de driver configuráveis sem validar contra uma lista de permissões de drivers aprovados. Se um atacante conseguir manipular parâmetros de configuração do sistema, isso permite a execução de bytecode Java arbitrário presente no classpath da aplicação sob o contexto de segurança do processo do servidor PaperCut.
Adicionada à KEV: 2026-08-31Oficial (NVD) →Foi descoberta uma vulnerabilidade no ownCloud (owncloud/core) em versões anteriores à 10.13.1. Um atacante pode acessar, modificar ou excluir qualquer arquivo sem autenticação se o nome de usuário da vítima for conhecido e a vítima não tiver uma chave de assinatura (signing-key) configurada. Isso ocorre porque URLs pré-assinadas podem ser aceitas mesmo quando o proprietário dos arquivos não possui uma chave de assinatura configurada. A primeira versão afetada é a 10.6.0.
Adicionada à KEV: 2026-08-27Oficial (NVD) →No kernel Linux, a seguinte vulnerabilidade foi corrigida: ipv6: considerar fraggap no caminho de alocação paged Em __ip6_append_data(), quando o ramo de alocação paged é tomado (MSG_MORE / NETIF_F_SG / fraglen grande), alloclen e pagedlen são computados como alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen; datalen já inclui fraggap (datalen = length + fraggap). Quando fraggap é diferente de zero, este não é o primeiro skb e transhdrlen é zero. Os bytes de fraggap trazidos do skb anterior são copiados logo depois dos cabeçalhos de fragmento na área linear do novo skb. A área linear fica portanto subdimensionada por fraggap bytes enquanto pagedlen fica superestimado pelo mesmo valor, e a cópia grava além de skb->end dentro de skb_shared_info no final. Um usuário não privilegiado pode disparar isso via um socket UDPv6 usando MSG_MORE juntamente com MSG_SPLICE_PAGES. A contabilidade incorreta foi introduzida pelo commit 773ba4fe9104 ("ipv6: avoid partial copy for zc"). Antes do commit ce650a166335 ("udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES"), o valor negativo de cópia fazia retornar -EINVAL. Esse commit posterior permitiu que MSG_SPLICE_PAGES prosseguisse nesse caso, tornando a corrupção explorável. O ramo não-paged define alloclen como fraglen, que já considera fraggap porque datalen o inclui. Alinhe o ramo paged adicionando fraggap a alloclen e subtraindo-o de pagedlen. Após esse ajuste, copy não mais colapsa para -fraggap no caminho paged, portanto remova o comentário obsoleto que descrevia aquela aritmética. Como uma cópia negativa não é mais esperada para um caso válido de MSG_SPLICE_PAGES, remova a exceção de MSG_SPLICE_PAGES da verificação de cópia negativa.
Adicionada à KEV: 2026-08-27Oficial (NVD) →Um usuário autenticado pode gravar dados fora do caminho de cache do Docker pretendido sob condições específicas de repositório remoto.
Adicionada à KEV: 2026-08-27Oficial (NVD) →Todas as versões do pacote ajaxpro.2 são vulneráveis a Desserialização de Dados Não Confiáveis devido à possibilidade de desserializar classes .NET arbitrárias, o que pode ser explorado para execução remota de código.
Adicionada à KEV: 2026-08-26Oficial (NVD) →Uma vulnerabilidade de execução remota de código existe no Microsoft SQL Server quando ele processa incorretamente funções internas, também conhecida como "Vulnerabilidade de Execução Remota de Código do Microsoft SQL Server".
Adicionada à KEV: 2026-08-26Oficial (NVD) →Vulnerabilidade de estouro de memória no NetScaler ADC e NetScaler Gateway que pode causar comportamento imprevisível ou incorreto e Negação de Serviço (DoS) se o appliance estiver configurado como Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) ou servidor virtual AAA.
Adicionada à KEV: 2026-08-26Oficial (NVD) →Foi encontrada uma falha de escrita de memória fora dos limites (OOB) no subsistema de notificação de eventos watch_queue do kernel Linux. Essa falha pode sobrescrever partes do estado do kernel, potencialmente permitindo que um usuário local obtenha acesso privilegiado ou cause negação de serviço no sistema.
Adicionada à KEV: 2026-08-26Oficial (NVD) →libuser nas versões anteriores a 0.56.13-8 e 0.60 anteriores a 0.60-7, conforme usado no programa userhelper do pacote usermode, modifica diretamente /etc/passwd, o que permite que usuários locais provoquem uma negação de serviço (estado inconsistente do arquivo) ao forçar um erro durante a modificação. NOTA: este problema pode ser combinado com o CVE-2015-3245 para obter privilégios.
Adicionada à KEV: 2026-08-26Oficial (NVD) →O programa de ajuda abrt-hook-ccpp do Automatic Bug Reporting Tool (ABRT) em versões anteriores à 2.7.1 permite que usuários locais com certas permissões obtenham privilégios por meio de um ataque por link simbólico em um arquivo com nome previsível, conforme demonstrado por /var/tmp/abrt/abrt-hax-coredump ou /var/spool/abrt/abrt-hax-coredump.
Adicionada à KEV: 2026-08-26Oficial (NVD) →O Gitea contém uma vulnerabilidade de injeção de código que permite a um atacante com permissão de gravação no repositório enviar um patch malicioso para o endpoint da API diffpatch, plantar um hook Git executável e executar comandos shell sob a conta de serviço do Gitea.
Adicionada à KEV: 2026-08-25Oficial (NVD) →Vulnerabilidade no Oracle HTTP Server e no Oracle WebLogic Server Proxy Plug-in, componentes do Oracle Fusion Middleware (componentes: WebLogic Server Proxy Plug-in para Apache HTTP Server e WebLogic Server Proxy Plug-in para IIS). Versões suportadas afetadas: 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0. Vulnerabilidade facilmente explorável permite que um atacante não autenticado com acesso de rede via HTTP comprometa o Oracle HTTP Server e o WebLogic Server Proxy Plug-in. Embora a vulnerabilidade esteja no Oracle HTTP Server e no WebLogic Server Proxy Plug-in, ataques podem impactar significativamente produtos adicionais (mudança de escopo). Ataques bem-sucedidos podem resultar em criação, exclusão ou modificação não autorizada de dados críticos ou de todos os dados acessíveis pelo Oracle HTTP Server e pelo WebLogic Server Proxy Plug-in, bem como acesso não autorizado a dados críticos ou acesso completo a todos os dados acessíveis pelo Oracle HTTP Server e pelo WebLogic Server Proxy Plug-in. Observação: a versão afetada do WebLogic Server Proxy Plug-in para IIS é apenas 12.2.1.4.0. Pontuação Base CVSS 3.1: 10.0 (impactos em Confidencialidade e Integridade). Vetor CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N).
Adicionada à KEV: 2026-08-24Oficial (NVD) →Existe uma vulnerabilidade de execução remota de código no Zimbra Collaboration (ZCS) em versões anteriores à 10.1.20 quando o pacote opcional zimbra-snmp está instalado e as notificações SNMP estão habilitadas. Devido à sanitização inadequada de dados não confiáveis durante o processamento de notificações SNMP, um atacante não autenticado pode enviar requisições SMTP especialmente craftadas que podem resultar na execução de comandos arbitrários do sistema operacional com privilégios do usuário Zimbra.
Adicionada à KEV: 2026-08-21Oficial (NVD) →Um atacante remoto não autorizado com acesso de rede via a porta 4307/TCP ao servidor TrueConf nas versões 5.3.X até 5.3.9, 5.4.X até 5.4.9, 5.5.X até 5.5.5 e anteriores podia usar um script especialmente criado para escapar do ambiente isolado e executar código arbitrário no sistema host.
Adicionada à KEV: 2026-08-20Oficial (NVD) →Um atacante remoto não autorizado com acesso de rede à porta 4307/TCP do servidor TrueConf nas versões 5.3.X a 5.3.9, 5.4.X a 5.4.9, 5.5.X a 5.5.5 e anteriores poderia executar um script arbitrário ao invocar uma função não documentada.
Adicionada à KEV: 2026-08-20Oficial (NVD) →O MLflow é uma plataforma de engenharia de IA de código aberto para agentes, modelos de linguagem grande e modelos de machine learning. Em versões anteriores à 3.15.0, o endpoint POST não autenticado /api/2.0/mlflow/webhooks/{id}/test chama _validate_webhook_url() em mlflow/utils/validation.py apenas para a URL original, enquanto mlflow/webhooks/delivery.py segue redirecionamentos e re-resolve o nome de host sem fixar (pin) o endereço previamente validado. Isso permite que atacantes alcancem serviços internos ou serviços de metadados em nuvem e recebam response_status e response_body. A correção foi incluída na versão 3.15.0.
Adicionada à KEV: 2026-08-19Oficial (NVD) →Dupla liberação (double free) na extensão IKE do Windows permite que um atacante não autorizado execute código por meio da rede.
Adicionada à KEV: 2026-08-18Oficial (NVD) →Autenticação fraca no Microsoft Office SharePoint permite que um atacante não autorizado contorne um recurso de segurança pela rede.
Adicionada à KEV: 2026-08-18Oficial (NVD) →O VMware vCenter contém uma vulnerabilidade de travessia de diretório no servidor Syslog. Um agente mal-intencionado com acesso de rede ao vCenter pode explorar essa falha para executar código arbitrário.
Adicionada à KEV: 2026-08-18Oficial (NVD) →Foi corrigida uma falha de autenticação por meio de aprimoramentos no gerenciamento de estado. Esta falha foi corrigida no macOS Sequoia 15.7.9, macOS Sonoma 14.8.9 e macOS Tahoe 26.6.1. Um atacante na rede poderia conseguir autenticar-se ao Compartilhamento de Tela (Screen Sharing) sem credenciais válidas.
Adicionada à KEV: 2026-08-18Oficial (NVD) →Ray é um motor de computação para IA. Em versões anteriores à 2.52.0, desenvolvedores que usam o Ray como ferramenta de desenvolvimento podiam ser explorados por uma vulnerabilidade crítica de execução remota de código (RCE) explorável via Firefox e Safari. Essa vulnerabilidade decorre de uma proteção insuficiente contra ataques originados no navegador, já que a defesa atual verificava apenas se o cabeçalho User-Agent começava com a string "Mozilla". Essa defesa é insuficiente porque a especificação fetch permite que o cabeçalho User-Agent seja modificado. Combinada a um ataque de DNS rebinding contra o navegador, a vulnerabilidade pode ser explorada contra um desenvolvedor executando Ray que, inadvertidamente, visita um site malicioso ou recebe uma propaganda maliciosa (malvertising). O problema foi corrigido na versão 2.52.0.
Adicionada à KEV: 2026-08-17Oficial (NVD) →Metabase permite que um atacante remoto não autenticado injete SQL arbitrário via o endpoint de banco de dados '/reset_password' e obtenha acesso de administrador à instância Metabase conectada.
Adicionada à KEV: 2026-08-11Oficial (NVD) →Uma vulnerabilidade no serviço Remote Access SSL VPN do Cisco Secure Firewall Adaptive Security Appliance (ASA) Software e do Cisco Secure Firewall Threat Defense (FTD) Software pode permitir que um atacante remoto não autenticado cause a reinicialização inesperada do dispositivo, resultando em uma condição de negação de serviço (DoS). Essa vulnerabilidade decorre de verificação inadequada de erros ao processar requisições HTTP. Um atacante pode explorar essa vulnerabilidade enviando uma requisição HTTP especialmente criada ao serviço Remote Access SSL VPN em um dispositivo afetado. Uma exploração bem-sucedida pode permitir que o atacante provoque a reinicialização do dispositivo afetado, resultando em uma condição de DoS.
Adicionada à KEV: 2026-08-11Oficial (NVD) →Uso após liberação (use-after-free) no Driver de Função Auxiliar do Windows para WinSock permite que um atacante autorizado eleve privilégios localmente.
Adicionada à KEV: 2026-08-11Oficial (NVD) →Vulnerabilidade de Injeção de Comandos do Sistema Operacional (RCE) na API dos produtos Progress ADC permite que um atacante não autenticado execute comandos arbitrários no appliance LoadMaster explorando entrada não sanitizada em múltiplos endpoints de comando.
Adicionada à KEV: 2026-08-07Oficial (NVD) →
Prioridade = KEV (explorada ativamente) + EPSS (probabilidade de exploração em 30 dias) + CVSS (gravidade). É um feed defensivo, sem código de exploração nem PoC. Cada CVE leva à fonte oficial (NVD).