Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Versões 6.5 a 29.7.1 do WWBN AVideo estão expostas a uma falha crítica de bypass de autenticação registrada como CVE-2026-126542. Atacantes podem definir o nome de exibição em X, Facebook, Yahoo ou LinkedIn com o nome de usuário da vítima e omitir o e-mail, enganando o fluxo de login social para entrar na conta sem senha. Administradores também estão em risco.

Como a falha pode dar acesso a qualquer conta, o impacto vai de sequestro de perfil a controle administrativo total. Atualize o AVideo para a versão corrigida mais recente imediatamente, revise as configurações de login social e monitore acessos suspeitos. Quando o nome de um perfil pode abrir a porta, não dá para improvisar segurança.

Falha crítica no AVideo permite entrar como qualquer usuário, inclusive administradores

#cybersecurity #vulnerability #authentication-bypass #avideo #cve-2026-126542 #patch-now

Ver detalhe →

Uma vulnerabilidade crítica de cross-site scripting identificada como CVE-2026-60043 foi revelada nos backends web dos dispositivos Helmholz myrex24v2 e MBconnect24, com pontuação CVSS 3.1 de 9,3. A falha permite que um atacante remoto não autenticado atinja um usuário logado no backend e execute ações críticas no sistema, incluindo desligar o servidor ou restaurar um backup enviado.

Os produtos afetados incluem Helmholz myrex24v2, myrex24v2.virtual, myrex24v2virtual e myrex24v2_firmware, além das linhas MB_connect_line e MBconnectline mbconnect24 e mymbconnect24. Equipes de segurança devem tratar o caso como prioridade máxima de correção: sanitizar entradas fornecidas pelo usuário, validar a saída antes da renderização, aplicar uma política rigorosa de segurança de conteúdo e atualizar o software afetado.

Falha XSS crítica em backends Helmholz e MBconnect24 exige ação imediata

#cybersecurity #critical #vulnerability #patching #xss #helmholz #mbconnect24

Ver detalhe →

Uma falha séria de segurança no Universal-modder, kit de modding de código aberto usado para conectar Minecraft a outros jogos, finalmente foi corrigida. Registrada como CVE-2026-125358 com pontuação de severidade alta, a vulnerabilidade estava na classe HostLink dos mods de exemplo do tipo passthrough, que não validava a origem das conexões WebSocket.

Na prática, qualquer página aberta no navegador do jogador podia se conectar silenciosamente ao WebSocket local sem autenticação e enviar mensagens cmd, que o WorldBridge.command() executava com autoridade total de operador. Sem download de malware, sem login, sem aviso: bastava um site malicioso e o jogo rodando.

A correção, no commit e88f687, ativa a validação de origem. Atualize para a versão mais recente, reinicie o serviço e fique de olho nas portas locais. É um lembrete de que o ecossistema de mods feito por voluntários anda rápido, e a higiene de segurança precisa acompanhar.

Ferramenta de mods de Minecraft é corrigida após falha crítica permitir que qualquer site execute comandos no jogo

#gaming #cybersecurity #vulnerability #cve #mods #minecraft #websocket

Ver detalhe →

Uma falha crítica de buffer overflow baseado em heap foi descoberta no roteador D-Link DIR-878 (firmware 1.20B05). Rastreada como CVE-2026-124560, a vulnerabilidade está no manipulador HNAP da função GetCAPTCHAsetting, permitindo que atacantes remotos executem código arbitrário com uma única requisição maliciosa. A pontuação CVSS é 9.8, tornando-a uma ameaça severa.

Pior ainda, um exploit de prova de conceito público já está circulando, e a D-Link confirmou que o produto não é mais suportado. Isso significa que não haverá patch oficial. Se você possui este roteador, sua rede está em risco. Substitua-o imediatamente por um modelo suportado e aplique todas as atualizações de firmware disponíveis.

Vulnerabilidade crítica em roteador D-Link expõe milhões a invasão remota

#cybersecurity #vulnerability #exploit #cve #router #dlink #remote-attack

Ver detalhe →

Uma falha de segurança de alta gravidade no UnrealIRCd está exigindo atenção urgente: versões 6.0.0 até 6.2.7.0 não escapam corretamente a tag de mensagem label do IRCv3, abrindo espaço para injeção de comandos entre servidores. A vulnerabilidade é rastreada como CVE-2026-114713 e tem pontuação CVSS 8.6.

Qualquer usuário em uma rede com dois ou mais servidores interligados pode explorar a falha para injetar comandos executados com autoridade de servidor, um risco sério para operadores e comunidades de IRC. A correção está no UnrealIRCd 6.2.7.1, então administradores devem atualizar imediatamente e reiniciar o serviço.

Com exploração remota confirmada, não é caso de esperar. Aplique o patch agora, verifique os servidores vinculados e trate o caminho de tratamento da label como prioridade na revisão de segurança.

UnrealIRCd corrige falha grave de injeção de comandos que pode comprometer servidores interligados

#cybersecurity #vulnerability #patch #cve #unrealircd #irc

Ver detalhe →

Pesquisadores de segurança divulgaram uma vulnerabilidade de alta severidade no Treeio, um agregador de feeds de notícias baseado em Django. A falha, identificada como CVE-2026-124318, permite que usuários staff autenticados executem código Python arbitrário armazenando um payload pickle malicioso em campos editáveis pelo admin.

Com pontuação CVSS de 7,2 (e 8,6 no CVSS 4.0), essa falha de desserialização insegura é explorável remotamente e pode levar ao comprometimento total do servidor. As versões do Treeio até a 2.0 são afetadas.

Os usuários devem atualizar para a versão mais recente imediatamente. Como mitigação temporária, evite carregar dados pickle não verificados e sanitize todas as entradas antes da desserialização.

Vulnerabilidade crítica de RCE no Treeio: atualize agora para evitar execução remota de código

#cybersecurity #rce #vulnerability #patch #cve #treeio #django

Ver detalhe →

Uma vulnerabilidade crítica registrada como CVE-2026-17408 está abalando o IBM API Connect, o gateway que inúmeras empresas usam para expor suas APIs ao mundo. Com nota 9.8 de 10 na escala CVSS, a falha vem da neutralização inadequada de elementos especiais em um comando de sistema operacional, o que significa que entradas fornecidas pelo usuário podem chegar direto ao sistema e executar código arbitrário no host.

O ponto mais assustador é o vetor de ataque: remoto, de baixa complexidade e sem exigir privilégios ou interação do usuário. Um atacante não autenticado que alcance o endpoint vulnerável pode potencialmente assumir o servidor. As versões 10.0.8.0 até 10.0.8.12 e 12.1.0.0 até 12.1.1.2 do IBM API Connect estão afetadas, e a defesa real é aplicar o patch para uma versão corrigida e sanitizar toda entrada que chegue a um comando de sistema.

Se a sua operação depende de gateways de API, trate isso como emergência: audite a exposição, restrinja acessos de entrada e saída e proteja o plano de gerenciamento. Para equipes que precisam de uma camada extra de privacidade durante o atendimento remoto, uma solução de VPN reforçada como a ProtonVPN é uma adição prática ao kit de resposta a incidentes.

IBM API Connect tem falha de severidade 9.8 que permite executar código sem fazer login

#cybersecurity #rce #vulnerability #patching #ibm #zero-trust #api-connect

Ver detalhe →

Uma falha crítica no APT, o gerenciador de pacotes por trás do Debian e do Ubuntu, foi divulgada como CVE-2026-109518. Pesquisadores descobriram que qualquer pessoa capaz de interferir no tráfego HTTP entre a sua máquina e um servidor de pacotes pode forçar o APT a repetir um download, substituir um pacote que já havia passado pela verificação e injetar código malicioso no lugar. Esse código é executado com privilégios de root, ou seja, controle total do sistema.

A superfície de ataque é maior do que parece. Espelhos maliciosos, proxies hostis e qualquer um na mesma rede conseguem explorar a falha, e o comportamento de nova tentativa que viabiliza o ataque vem habilitado por padrão a partir do Debian 12 e do Ubuntu 22.04. O Ubuntu classifica o problema como prioridade alta, com pontuação CVSS 4.0 de 7.7, e os próprios desenvolvedores do Debian tratam a falha como crítica.

Versões corrigidas já estão sendo liberadas para Ubuntu 26.10, 26.04 LTS, 24.04 LTS e 22.04 LTS, enquanto o Debian publicou versões corrigidas do APT para as distribuições suportadas. Sistemas mais antigos, como Debian 11 e Ubuntu 20.04, não são expostos por padrão, mas scripts de usuário que ativaram Acquire::Retries mudam esse cenário. Atualize agora, revise suas fontes de pacotes e trate redes não confiáveis como hostis.

Falha crítica no APT do Debian e Ubuntu permite trocar pacotes verificados e executar código como root

#cybersecurity #vulnerability #linux #security-update #apt #root-access #debian #ubuntu

Ver detalhe →

$O projeto rsync lançou a versão 3.5.2, corrigindo uma falha perigosa que permitia a qualquer cliente conectado esgotar a CPU de um servidor. Registrada como CVE-2026-119741, a vulnerabilidade explora o loop de verificação de checksums em hash_search(), inundando o emissor com checksums fracos que colidem e checksums fortes que nunca correspondem—forçando cálculo infinito e consumindo todos os recursos da máquina. Com pontuação 8.7 no CVSS 4.0, é uma ameaça séria de disponibilidade para quem opera um módulo rsync público. Não é necessário ter conta para acioná-la. A atualização também traz as opções --nice e --no-nice para colocar transferências grandes no final da fila de CPU e disco, mantendo o sistema responsivo durante sincronizações pesadas. Se você usa rsync para backups ou espelhamento, aplique o patch agora.$

Falha crítica no AVideo permite entrar como qualquer usuário, inclusive administradores

Falha XSS crítica em backends Helmholz e MBconnect24 exige ação imediata

Ferramenta de mods de Minecraft é corrigida após falha crítica permitir que qualquer site execute comandos no jogo

Vulnerabilidade crítica em roteador D-Link expõe milhões a invasão remota

UnrealIRCd corrige falha grave de injeção de comandos que pode comprometer servidores interligados

Vulnerabilidade crítica de RCE no Treeio: atualize agora para evitar execução remota de código

IBM API Connect tem falha de severidade 9.8 que permite executar código sem fazer login

Falha crítica no APT do Debian e Ubuntu permite trocar pacotes verificados e executar código como root

Falha crítica no rsync corrigida: atualize para 3.5.2 agora e evite ataques de esgotamento de CPU

Alerta crítico: roteadores Qihoo 360 têm falha 10.0 de injeção de comandos e exploit público

Hackers humanos ainda superam a IA onde mais importa, diz HackerOne

Falha 9.8 em plugin WordPress permite que atacantes sem login apaguem arquivos e tomem conta de sites