Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Uma vulnerabilidade de severidade máxima foi divulgada na família de dispositivos Seetong T8108, T8108P, T8116 e T8232, expondo um serviço de depuração que falha em verificar corretamente quem está se conectando. Registrada como CVE-2026-100886, a falha alcança nota 10.0 em múltiplos frameworks CVSS e pode ser acionada remotamente, sem necessidade de acesso local.

O que dói ainda mais é que já existe um proof-of-concept público no GitHub, então qualquer pessoa com o IP do alvo pode começar a testar unidades expostas agora mesmo. O fabricante teria sido contatado antes da publicação e não respondeu, o que significa que correções não estão garantidas e os donos ficam por conta própria.

Se você usa esses dispositivos, atualize o firmware imediatamente, desative ou restrinja o acesso ao serviço de depuração e monitore a rede em busca de tráfego suspeito. Hardware IoT exposto é uma porta de entrada favorita de atacantes, então isolar essas câmeras e proteger sua conexão com uma VPN confiável é a jogada defensiva mais inteligente.

Falha crítica de autenticação atinge câmeras Seetong, e o exploit já é público

#cybersec #privacy #vulnerability #exploit #cve #iot #authentication

Ver detalhe →

Uma vulnerabilidade recém-divulgada no hMailServer, registrada como CVE-2026-100741, chega com pontuação crítica de 9.8 no CVSS e permite que um atacante remoto e não autenticado execute JScript arbitrário dentro do processo do serviço de e-mail. A falha está no despachante de scripts de evento, onde o servidor monta as chamadas dos handlers como literais de string em JScript e escapa o apóstrofo, mas esquece a barra invertida que vem antes dele.

O resultado é uma cadeia brutal: basta enviar uma senha contendo uma barra invertida seguida de apóstrofo em qualquer logon, e o valor fecha o literal, o restante é interpretado como script e o atacante conquista execução de comandos com os privilégios da conta de serviço. O mesmo buraco é alcançável por um servidor POP3 malicioso que devolve um UID de mensagem manipulado ou por um servidor SMTP que rejeita uma entrega com uma resposta de erro envenenada.

A exploração depende de uma configuração não padrão, já que o script de eventos vem desativado e a linguagem precisa estar definida como JScript. Mesmo assim, a correção já está disponível na versão 6.3.4, então quem mantém esse servidor de e-mail deve atualizar imediatamente, desativar o script de eventos quando não for necessário e revisar quais objetos o ambiente de script pode acessar.

Falha crítica no hMailServer permite executar código com uma única senha manipulada

#cybersecurity #vulnerability #exploit #cve #patching #email-security #hmailserver

Ver detalhe →

Uma falha crítica no plugin OAuth2 do RabbitMQ chegou com nota 9.2 de severidade e é o tipo de bug que tira o sono de qualquer time de segurança: quando nenhum pacote de CAs está disponível, o broker volta silenciosamente para verify_none nas buscas de JWKS, sem emitir nenhum aviso.

Esse fail-open silencioso entrega a um atacante em posição de man-in-the-middle tudo o que ele precisa para forjar a resposta do JWKS, e o RabbitMQ aceita sem reclamar qualquer JSON Web Token que o invasor escolher. Sem alerta de violação, sem checagem de certificado, sem hesitação.

A correção já está disponível. Quem roda RabbitMQ deve atualizar para 3.13.15, 4.0.20, 4.1.11, 4.2.6 ou 4.3.0 agora mesmo, e a mesma leva de versões também fecha um bypass de autenticação de cliente TLS com nota 9.1 e uma bomba de descompressão no Web-MQTT com nota 8.2. E para blindar o acesso remoto aos seus servidores, uma VPN focada em privacidade como a ProtonVPN mantém a conexão fora do alcance de olhares curiosos.

RabbitMQ corrige falha crítica no OAuth2 que permitia forjar tokens JWT

#cybersecurity #infosec #cve #patching #rabbitmq #oauth2 #jwt

Ver detalhe →

Uma falha recém-divulgada no serviço CalDAV e CardDAV do cPanel é tão grave quanto uma vulnerabilidade de servidor pode ser: qualquer titular de conta de hospedagem logado pode executar código como root e assumir o controle total da máquina. Em hospedagem compartilhada, isso significa que um único cliente pagante, ou qualquer pessoa que consiga o login de um cliente, alcança todas as contas daquele servidor.

E tem mais. Um segundo bug no plugin WP Toolkit permite que um usuário logado do cPanel altere bancos de dados de outras contas, e uma terceira falha expõe silenciosamente eventos de calendário e contatos de outros usuários a qualquer usuário local da máquina. O cPanel já liberou correções para as três, registradas como CVE-2026-87899, CVE-2026-87900 e CVE-2026-68490, e avisa que não existe solução temporária para servidores que não podem atualizar imediatamente.

O cPanel não confirmou se as falhas foram exploradas em ataques reais, e nenhum dos avisos oferece uma forma de verificar se um servidor foi atingido antes do patch. Se você roda cPanel ou WP Toolkit, atualizar não é opcional. Aproveite para blindar suas contas com uma conexão protegida.

Falha crítica no cPanel permite que qualquer cliente de hospedagem execute código como root e domine o servidor inteiro

#cybersecurity #vulnerability #privilege-escalation #patch #cve #cpanel #hosting

Ver detalhe →

Uma vulnerabilidade crítica no Next.js, catalogada como CVE-2026-94545 com nota CVSS 9.5, permite que atacantes executem código no servidor por meio do ImageResponse, o recurso que gera imagens de Open Graph e outras prévias sociais. O problema surge quando uma aplicação injeta valores controlados pelo atacante, como texto lido da URL da requisição, no layout da imagem. O Satori, biblioteca que converte esse layout em SVG antes de gerar o PNG final, não escapava certos valores, então uma string construída com cuidado podia ser interpretada como código SVG em vez de texto puro.

A falha atinge o Next.js 16.2.0 até 16.3.5 quando o ImageResponse roda no runtime Node.js, que é o padrão. A versão Edge não é afetada, e o Next.js 15 também não. A Vercel corrigiu em 22 de setembro na versão 16.3.6, e a linha 15.5 ganhou reforço extra de segurança na 15.5.26. Quem usa o Satori direto deve atualizar para 0.33.5.

Ainda não há relatos públicos de ataques nem código de exploração divulgado, mas a janela é concreta: as versões vulneráveis saem desde março. Se a atualização completa precisar esperar, mantenha qualquer valor controlado pelo usuário fora do conteúdo, dos atributos e dos estilos SVG renderizados pelo ImageResponse no Node.js, e confira a versão na mão em vez de confiar no npm audit, que não sinalizou a release vulnerável 16.3.5. Travar uma stack moderna fica bem mais fácil quando o tráfego e as conexões do time seguem criptografados, e uma VPN confiável conquista seu espaço nessa configuração.

Falha crítica no Next.js transforma um SVG manipulado em execução de código no servidor

#cybersecurity #vulnerability #cve #web-security #remote-code-execution #nextjs #svg #vercel

Ver detalhe →

Uma falha de autenticação de alta severidade nas assinaturas do mpp Tempo transforma credenciais de ativação capturadas em um gatilho de pagamento repetido. A CVE-2026-87119 permite que um atacante reapresente uma Tempo KeyAuthorization assinada sob um novo desafio, burle a deduplicação e cobre novamente a carteira do pagador a cada replay.

O problema afeta versões do mpp da 0.14.0 até antes da 0.16.2, com exploração remota confirmada. A correção exige atualizar para a 0.16.2 ou superior, revisar proteções contra replay e adotar autorização vinculada ao desafio para que uma credencial capturada nunca possa ser reutilizada.

Ferramentas de privacidade como ProtonVPN ajudam equipes a reforçar o acesso remoto enquanto aplicam as correções.

Falha crítica de replay nas assinaturas mpp Tempo permite cobrar pagadores repetidamente

#cybersecurity #infosec #vulnerability #authentication-bypass #cve #mpp #replay-attack

Ver detalhe →

Pesquisadores de segurança identificaram uma falha crítica de autenticação no Gigatech PDV5701 versão 1.0.31_240305_112640. A vulnerabilidade está no componente de serviço WebSocket e pode ser explorada remotamente através do arquivo /index.html, permitindo que atacantes contornem completamente a autenticação.

O exploit já é público, e o fornecedor foi contatado cedo, mas não respondeu, deixando os sistemas afetados perigosamente expostos. Com pontuação CVSS de até 10.0, é um problema de severidade máxima que exige correção imediata, restrição de acesso remoto e monitoramento constante.

Falha crítica de autenticação no Gigatech PDV5701 expõe serviço WebSocket a ataques remotos

#cybersecurity #vulnerability #authentication-bypass #network-security #cve #remote-exploit

Ver detalhe →

$Uma vulnerabilidade recém-divulgada no HGiga OAKlouds chega com uma pontuação CVSS 3.1 brutal de 9.8, e é tão grave quanto parece. A falha é uma desserialização insegura, ou seja, o software reconstrói dados não confiáveis diretamente como objetos executáveis. Um atacante não autenticado só precisa enviar um payload serializado malicioso pela rede para o servidor executar código arbitrário por conta própria. Não é necessário login, não há interação do usuário e o ataque funciona totalmente à distância. Essa combinação coloca qualquer instância exposta do OAKlouds na mira, porque uma única requisição pode virar controle total do servidor. Enquanto o patch não chega, a orientação é parar de desserializar qualquer dado de origem não confiável, validar rigorosamente tudo que entra e tirar esses sistemas do acesso público à internet. Falhas críticas de execução remota de código como essa mostram que o tratamento de entrada continua sendo o elo mais fraco do software corporativo. Se você usa o produto afetado, trate o caso como emergência, segmente o serviço e monitore os logs em busca de tráfego serializado suspeito.$

Falha crítica de autenticação atinge câmeras Seetong, e o exploit já é público

Falha crítica no hMailServer permite executar código com uma única senha manipulada

RabbitMQ corrige falha crítica no OAuth2 que permitia forjar tokens JWT

Falha crítica no cPanel permite que qualquer cliente de hospedagem execute código como root e domine o servidor inteiro

Falha crítica no Next.js transforma um SVG manipulado em execução de código no servidor

Falha crítica de replay nas assinaturas mpp Tempo permite cobrar pagadores repetidamente

Falha crítica de autenticação no Gigatech PDV5701 expõe serviço WebSocket a ataques remotos

Falha crítica 9.8 no HGiga OAKlouds permite executar código sem login

GitLab corrige falha de autorização que expunha variáveis protegidas de CI/CD

Gateways de e-mail da Cisco são atingidos por zero-day explorado ativamente, e atacantes podem já estar apagando rastros

Falha crítica no MISP permite login com senha vazia

Falha de severidade maxima no GitLab ja e explorada em ataques, alerta a CISA