Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma vulnerabilidade recém-divulgada no hMailServer, registrada como CVE-2026-100741, chega com pontuação crítica de 9.8 no CVSS e permite que um atacante remoto e não autenticado execute JScript arbitrário dentro do processo do serviço de e-mail. A falha está no despachante de scripts de evento, onde o servidor monta as chamadas dos handlers como literais de string em JScript e escapa o apóstrofo, mas esquece a barra invertida que vem antes dele.

O resultado é uma cadeia brutal: basta enviar uma senha contendo uma barra invertida seguida de apóstrofo em qualquer logon, e o valor fecha o literal, o restante é interpretado como script e o atacante conquista execução de comandos com os privilégios da conta de serviço. O mesmo buraco é alcançável por um servidor POP3 malicioso que devolve um UID de mensagem manipulado ou por um servidor SMTP que rejeita uma entrega com uma resposta de erro envenenada.

A exploração depende de uma configuração não padrão, já que o script de eventos vem desativado e a linguagem precisa estar definida como JScript. Mesmo assim, a correção já está disponível na versão 6.3.4, então quem mantém esse servidor de e-mail deve atualizar imediatamente, desativar o script de eventos quando não for necessário e revisar quais objetos o ambiente de script pode acessar.

Falha crítica no hMailServer permite executar código com uma única senha manipulada

#cybersecurity #vulnerability #exploit #cve #patching #email-security #hmailserver

Ver detalhe →

Uma vulnerabilidade crítica, CVE-2026-82901, foi descoberta no plugin Ultra Addons for Contact Form 7 para WordPress, afetando versões até 3.5.50. Com pontuação CVSS 9.8, essa falha permite que atacantes não autenticados façam upload de arquivos arbitrários no servidor de um site vulnerável, podendo levar à execução remota de código.

A vulnerabilidade está na função 'uacf7_wpcf7_mail_components' devido à validação insuficiente do tipo de arquivo. Só é explorável quando o módulo PDF Generator do plugin está habilitado, que é desabilitado por padrão. No entanto, administradores de sites são instados a atualizar o plugin imediatamente para evitar exploração.

A inteligência de ameaças da Wordfence sinalizou isso como uma questão crítica. Garanta a segurança do seu site WordPress atualizando para a versão mais recente do Ultra Addons for Contact Form 7 e desabilitando o módulo PDF Generator se não for necessário.

Sites WordPress em risco: falha crítica de upload arbitrário de arquivos em plugin popular

#cybersecurity #vulnerability #wordpress #plugin #security-update #remote-code-execution

Ver detalhe →

Uma vulnerabilidade recém-divulgada, registrada como CVE-2026-96795, coloca o Horilla, plataforma open source de RH e CRM bastante usada, no centro das atenções. A falha está no recurso de exportação de listas e permite que qualquer usuário autenticado injete sintaxe Python em uma função gerada dinamicamente e depois executada pela aplicação, transformando um simples botão de exportar em uma porta de entrada para execução remota de código.

Com pontuação CVSS 3.1 de 8.8, o impacto é grave: a exploração bem-sucedida permite rodar comandos arbitrários do sistema operacional com os privilégios do processo da aplicação, o que na imagem Docker oficial significa acesso root. Esse é o tipo de controle que permite a um atacante se espalhar por toda a rede corporativa, vazar dados de funcionários ou instalar backdoors persistentes.

A boa notícia é que a correção já existe. O Horilla 2.0.0 elimina o caminho inseguro de geração de código, e administradores devem atualizar imediatamente, sanitizar qualquer dado de coluna enviado pelo usuário e parar de passar entrada não confiável para chamadas exec(). Se você lida com dados sensíveis de RH ou de clientes, aplicar o patch hoje não é opcional.

Falha crítica de RCE no software Horilla HR permite que usuários autenticados executem código como root

#cybersec #rce #vulnerability #data-breach #horilla #code-injection #python

Ver detalhe →

Uma vulnerabilidade recem-divulgada esta colocando os firewalls Netgate pfSense em alerta maximo. Catalogada como CVE-2026-97730, a falha e um bug de inclusao local de arquivos no tratamento de widgets do Dashboard que permite a um atacante autenticado transformar um simples payload de path traversal em execucao remota de codigo.

O ataque e sorrateiro e eficaz: qualquer um capaz de alterar configuracoes do dashboard e gravar um arquivo no sistema pode apontar a interface para um arquivo PHP malicioso e ve-lo rodar como se fosse um widget normal. Ou seja, uma conta de admin comprometida ou descuidada pode virar um firewall sequestrado, justamente o que protege toda a sua rede.

A correcao ja esta disponivel. Atualize o pfSense Plus para 26.07 ou superior e o pfSense CE para 2.9.0 ou superior, depois restrinja os privilegios de modificacao do dashboard e sanitize a entrada dos widgets. Aplique o patch agora, porque um firewall que dispara contra voce e a ultima coisa que alguem precisa.

Falha critica no pfSense permite executar codigo no seu firewall

#cybersec #rce #vulnerability #firewall #path-traversal #pfsense #netgate

Ver detalhe →

A OnePlus está sob pressão depois que um pesquisador de segurança expôs duas falhas não corrigidas que permitem a qualquer app Android instalado ganhar acesso root sem pedir permissões. O ataque funciona em um OnePlus 15 de fábrica e provavelmente afeta outros dispositivos OnePlus e OPPO com OxygenOS.

O pesquisador relatou os bugs em abril, mas a OnePlus teria respondido com ameaças legais e alegado o direito exclusivo de decidir quando vulnerabilidades se tornam públicas. Nenhum CVE ou correção foi lançado, deixando usuários expostos até que um patch chegue.

O ataque exige um app malicioso já instalado no celular, então a melhor defesa agora é baixar aplicativos apenas de fontes confiáveis. Este caso aumenta a pressão sobre fabricantes Android para corrigir falhas de segurança mais rápido e respeitar a divulgação responsável.

Escândalo OnePlus: apps instalados podem ganhar root sem permissões e sem correção à vista

#cybersecurity #privacy #vulnerability #android #oneplus #mobile-security #root

Ver detalhe →

Uma falha recém-divulgada no serviço CalDAV e CardDAV do cPanel é tão grave quanto uma vulnerabilidade de servidor pode ser: qualquer titular de conta de hospedagem logado pode executar código como root e assumir o controle total da máquina. Em hospedagem compartilhada, isso significa que um único cliente pagante, ou qualquer pessoa que consiga o login de um cliente, alcança todas as contas daquele servidor.

E tem mais. Um segundo bug no plugin WP Toolkit permite que um usuário logado do cPanel altere bancos de dados de outras contas, e uma terceira falha expõe silenciosamente eventos de calendário e contatos de outros usuários a qualquer usuário local da máquina. O cPanel já liberou correções para as três, registradas como CVE-2026-87899, CVE-2026-87900 e CVE-2026-68490, e avisa que não existe solução temporária para servidores que não podem atualizar imediatamente.

O cPanel não confirmou se as falhas foram exploradas em ataques reais, e nenhum dos avisos oferece uma forma de verificar se um servidor foi atingido antes do patch. Se você roda cPanel ou WP Toolkit, atualizar não é opcional. Aproveite para blindar suas contas com uma conexão protegida.

Falha crítica no cPanel permite que qualquer cliente de hospedagem execute código como root e domine o servidor inteiro

#cybersecurity #vulnerability #privilege-escalation #patch #cve #cpanel #hosting

Ver detalhe →

Uma vulnerabilidade crítica no Next.js, catalogada como CVE-2026-94545 com nota CVSS 9.5, permite que atacantes executem código no servidor por meio do ImageResponse, o recurso que gera imagens de Open Graph e outras prévias sociais. O problema surge quando uma aplicação injeta valores controlados pelo atacante, como texto lido da URL da requisição, no layout da imagem. O Satori, biblioteca que converte esse layout em SVG antes de gerar o PNG final, não escapava certos valores, então uma string construída com cuidado podia ser interpretada como código SVG em vez de texto puro.

A falha atinge o Next.js 16.2.0 até 16.3.5 quando o ImageResponse roda no runtime Node.js, que é o padrão. A versão Edge não é afetada, e o Next.js 15 também não. A Vercel corrigiu em 22 de setembro na versão 16.3.6, e a linha 15.5 ganhou reforço extra de segurança na 15.5.26. Quem usa o Satori direto deve atualizar para 0.33.5.

Ainda não há relatos públicos de ataques nem código de exploração divulgado, mas a janela é concreta: as versões vulneráveis saem desde março. Se a atualização completa precisar esperar, mantenha qualquer valor controlado pelo usuário fora do conteúdo, dos atributos e dos estilos SVG renderizados pelo ImageResponse no Node.js, e confira a versão na mão em vez de confiar no npm audit, que não sinalizou a release vulnerável 16.3.5. Travar uma stack moderna fica bem mais fácil quando o tráfego e as conexões do time seguem criptografados, e uma VPN confiável conquista seu espaço nessa configuração.

Falha crítica no Next.js transforma um SVG manipulado em execução de código no servidor

#cybersecurity #vulnerability #cve #web-security #remote-code-execution #nextjs #svg #vercel

Ver detalhe →

Uma falha de autenticação de alta severidade nas assinaturas do mpp Tempo transforma credenciais de ativação capturadas em um gatilho de pagamento repetido. A CVE-2026-87119 permite que um atacante reapresente uma Tempo KeyAuthorization assinada sob um novo desafio, burle a deduplicação e cobre novamente a carteira do pagador a cada replay.

O problema afeta versões do mpp da 0.14.0 até antes da 0.16.2, com exploração remota confirmada. A correção exige atualizar para a 0.16.2 ou superior, revisar proteções contra replay e adotar autorização vinculada ao desafio para que uma credencial capturada nunca possa ser reutilizada.

Ferramentas de privacidade como ProtonVPN ajudam equipes a reforçar o acesso remoto enquanto aplicam as correções.

Falha crítica de replay nas assinaturas mpp Tempo permite cobrar pagadores repetidamente

#cybersecurity #infosec #vulnerability #authentication-bypass #cve #mpp #replay-attack

Ver detalhe →

Pesquisadores de segurança identificaram uma falha crítica de autenticação no Gigatech PDV5701 versão 1.0.31_240305_112640. A vulnerabilidade está no componente de serviço WebSocket e pode ser explorada remotamente através do arquivo /index.html, permitindo que atacantes contornem completamente a autenticação.

O exploit já é público, e o fornecedor foi contatado cedo, mas não respondeu, deixando os sistemas afetados perigosamente expostos. Com pontuação CVSS de até 10.0, é um problema de severidade máxima que exige correção imediata, restrição de acesso remoto e monitoramento constante.

Falha crítica de autenticação no Gigatech PDV5701 expõe serviço WebSocket a ataques remotos

#cybersecurity #vulnerability #authentication-bypass #network-security #cve #remote-exploit

Ver detalhe →

Pesquisadores de segurança acabaram de soltar um alerta crítico: o Mistral Vibe, o assistente de programação com IA, está vulnerável a execução remota de código em todas as versões anteriores à 2.25.5. A falha fica no processo de criação de worktrees, que dispara hooks do git antes mesmo de validar a confiança do repositório, permitindo que um repositório malicioso injete um hook post-checkout que roda comandos shell arbitrários com os privilégios do seu usuário.

Pense nisso por um instante. Só abrir um repositório não confiável pode dar a um atacante acesso direto à sua máquina, sem precisar de nenhuma cadeia de exploração sofisticada. A vulnerabilidade tem pontuação CVSS 8.8 e é explorável remotamente, o que a torna uma das mais perigosas do ano em ferramentas de desenvolvimento.

A correção é simples: atualize o Mistral Vibe para a versão 2.25.5 ou superior, evite criar worktrees de repositórios em que você não confia e reforce as políticas de execução de hooks do git.

Falha crítica de execução remota de código atinge o Mistral Vibe, atualize agora

#cybersecurity #rce #vulnerability #git #mistral #developer-tools

Ver detalhe →

Pesquisadores de segurança da Hacktron afirmam ter assumido o controle do fórum público de ajuda da OpenAI ao explorar uma vulnerabilidade no Discourse, a plataforma que sustenta o site. A falha teria dado controle total da página às mãos dos atacantes, e a OpenAI confirmou a invasão, corrigindo o problema em cerca de 14 horas e pagando uma recompensa de 6.500 dólares pela descoberta.

O detalhe que agitou o mundo da segurança: a equipe teria usado o Claude, da Anthropic, para montar um ataque funcional, saindo de resultados inconsistentes em um modelo para um exploit completo em apenas três horas com o mais recente. É um alerta direto de que a IA está encurtando o tempo e o custo de ciberataques sofisticados que antes exigiam equipes especializadas e meses de trabalho.

A OpenAI classificou o caso como parte de um exercício coordenado com especialistas externos, e os pesquisadores dizem que seguem testando outras empresas. A lição é clara: conforme os agentes autônomos de IA ficam mais afiados, cada fórum, plugin e tela de login vira uma porta em potencial, e quem defende precisa correr na mesma velocidade.

Pesquisadores dizem ter hackeado o fórum de ajuda da OpenAI usando a IA Claude, da Anthropic

#ai #hacking #openai #anthropic #cybersecurity #claude #vulnerability #disclosure

Ver detalhe →

Uma falha crítica de execução remota de código sem autenticação no Orkes Conductor está sob ataque ativo, e os números sobem rápido. A Fortinet relata o bloqueio de 1.290 tentativas de exploração em uma única janela de 24 horas, um salto de 132 por cento na atividade diária, com quase 7.000 tentativas barradas só entre 2 e 9 de setembro.

Registrada como CVE-2026-58138, com nota de severidade 9.8, a brecha permite que atacantes insiram JavaScript ou Python malicioso em definições de workflow inline e as disparem contra a API de workflow antes da autenticação. Como os avaliadores GraalVM rodam sem sandbox e com acesso irrestrito ao host, os invasores escapam do ambiente de script e executam comandos arbitrários do sistema operacional com os privilégios do processo do Conductor. O tráfego de ataque se concentra na Alemanha, Hong Kong, Indonésia, Emirados Árabes Unidos e Índia.

A correção é simples, mas urgente: atualize para o Conductor 3.30.2 ou superior. Se não puder aplicar o patch imediatamente, corte o acesso externo à API de workflow, coloque as instâncias atrás de controles de rede rigorosos e monitore envios suspeitos de workflow ou execuções inesperadas de comandos. E se quiser proteger sua própria conexão durante a resposta ao incidente, uma ferramenta como o ProtonVPN mantém seu tráfego criptografado e fora de vista.

Falha crítica no Orkes Conductor é explorada ativamente, com 1.290 tentativas de ataque bloqueadas em um único dia

#hacking #cybersecurity #privacy #rce #vulnerability #fortinet #orkes-conductor #cve-2026-58138

Ver detalhe →