Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Uma vulnerabilidade recém-divulgada no SiYuan, registrada como CVE-2026-93922, está acendendo o alerta na comunidade de segurança. Até a versão 3.8.4, o aplicativo renderiza nomes de notebooks como HTML bruto no diálogo do seletor de Notas Diárias, sem qualquer escape, abrindo caminho para cross-site scripting armazenado.

O detalhe mais assustador é o alcance do ataque. Como o SiYuan roda em Electron com acesso ao Node.js, o JavaScript injetado não fica preso em uma sandbox: ele pode chegar direto ao sistema operacional e executar comandos no instante em que o seletor é aberto. Basta o atacante plantar um nome de notebook malicioso e esperar a vítima interagir com ele.

A correção é simples e urgente: atualize o SiYuan para a versão mais recente, evite importar notebooks de origem desconhecida e trate toda entrada fornecida pelo usuário como hostil até que seja sanitizada. Se você guarda dados sensíveis em um aplicativo de notas no desktop, este é o lembrete para aplicar o patch agora e reforçar a segurança do seu ambiente.

Falha crítica no SiYuan transforma um simples nome de notebook em controle total do sistema

#cybersecurity #privacy #vulnerability #exploit #xss #siyuan #electron

Pesquisadores de segurança descobriram uma vulnerabilidade crítica de execução remota de código zero-click que afeta quatro grandes agentes de codificação com IA: Claude Code, Codex, GitHub Copilot e Gemini CLI. Chamada de Plugin4Shell, a falha contorna o SHA pinning, permitindo que invasores injetem código malicioso em plugins confiáveis sem qualquer ação do usuário. O ataque é reexecutado na atualização automática em segundo plano, tornando-o especialmente perigoso para quem usa esses agentes.

Anthropic e OpenAI já corrigiram seus respectivos agentes, mas a Microsoft ainda não lançou uma correção para o GitHub Copilot. O Google tomou uma medida drástica, descontinuando o Gemini CLI em vez de corrigi-lo, deixando as instalações existentes expostas. Esta é a primeira vulnerabilidade de cadeia de suprimentos conhecida no ecossistema de agentes de IA e um alerta para a segurança de ferramentas autônomas de codificação.

Falha zero-click RCE atinge grandes agentes de codificação com IA, dois permanecem sem correção

#ai #cybersecurity #vulnerability #zero-day #patching #supply-chain #coding-agents

$Uma vulnerabilidade recém-divulgada no HGiga OAKlouds chega com uma pontuação CVSS 3.1 brutal de 9.8, e é tão grave quanto parece. A falha é uma desserialização insegura, ou seja, o software reconstrói dados não confiáveis diretamente como objetos executáveis. Um atacante não autenticado só precisa enviar um payload serializado malicioso pela rede para o servidor executar código arbitrário por conta própria. Não é necessário login, não há interação do usuário e o ataque funciona totalmente à distância. Essa combinação coloca qualquer instância exposta do OAKlouds na mira, porque uma única requisição pode virar controle total do servidor. Enquanto o patch não chega, a orientação é parar de desserializar qualquer dado de origem não confiável, validar rigorosamente tudo que entra e tirar esses sistemas do acesso público à internet. Falhas críticas de execução remota de código como essa mostram que o tratamento de entrada continua sendo o elo mais fraco do software corporativo. Se você usa o produto afetado, trate o caso como emergência, segmente o serviço e monitore os logs em busca de tráfego serializado suspeito.$

Falha crítica no WordPress deixa atacantes não autenticados executarem código no seu servidor pelo plugin The Events Calendar

#cybersecurity #infosec #vulnerability #wordpress #cve #remote-code-execution #plugin-security

Ver detalhe →

Uma falha de segurança de alta severidade acaba de atingir o cenário da saúde em código aberto. O OpenMRS, plataforma de prontuário eletrônico usada por clínicas e hospitais no mundo todo, carrega um bug de controle de acesso quebrado registrado como CVE-2026-44715, com pontuação CVSS de 8.7.

O problema é tão simples quanto perigoso. Qualquer usuário autenticado, e não apenas administradores, consegue acionar o serviço administrativo DWR chamado startHl7ArchiveMigration, uma rotina que sempre deveria ficar restrita a contas de nível administrador. Ou seja, um login de baixo privilégio pode alcançar funções de migração de arquivos HL7 que nunca deveria tocar, e a falha é explorável remotamente.

A correção já está disponível. As versões 1.23.0 e 2.10.0 do OpenMRS bloqueiam esses serviços administrativos, então se o seu sistema roda algo mais antigo, o tempo está correndo. Dados de pacientes merecem defesas muito mais fortes do que confiança padrão, atualize agora.

Falha de controle de acesso no OpenMRS deixa qualquer usuário logado alcançar ferramentas administrativas de dados médicos

#cybersecurity #data-privacy #vulnerability #cve #healthcare #access-control #openmrs

Ver detalhe →

Uma vulnerabilidade recém-divulgada, rastreada como CVE-2026-80462, recebeu nota máxima de 10.0 no CVSS 3.1, o maior nível de severidade que a escala permite. A falha está no gateway de API do Chef Automate e no seu caminho de validação de identidade e, sob condições específicas, pode permitir que um ator não autenticado alcance funcionalidades protegidas que jamais deveriam ser acessíveis sem credenciais.

Essa combinação de exploração remota, nenhuma exigência de autenticação e severidade máxima é exatamente o tipo de manchete que faz times de infraestrutura e plataforma pararem tudo. O Chef Automate está no coração da gestão de configuração e dos pipelines de conformidade de inúmeras organizações, o que significa que uma checagem de identidade quebrada aqui é uma porta de entrada para os sistemas que esses times deveriam estar protegendo.

O caminho adiante é direto, mas urgente: aplique os patches de segurança do fornecedor, restrinja quem pode acessar a API do Chef Automate e revise as configurações de gateway de API e de gestão de identidade em busca de qualquer brecha. Se a sua postura de segurança depende de acesso remoto a ferramentas internas, combinar infraestrutura reforçada com uma camada de VPN confiável é um hábito inteligente de construir agora, e não depois do relatório de incidente.

Falha crítica no SiYuan transforma um simples nome de notebook em controle total do sistema

Falha zero-click RCE atinge grandes agentes de codificação com IA, dois permanecem sem correção

Falha crítica 9.8 no HGiga OAKlouds permite executar código sem login

GitLab corrige falha de autorização que expunha variáveis protegidas de CI/CD

Falha crítica no MISP permite login com senha vazia

Falha de severidade maxima no GitLab ja e explorada em ataques, alerta a CISA

Falha crítica 9.8 no sngrep permite ataques remotos e execução de código via SIP

Falha crítica no WordPress deixa atacantes não autenticados executarem código no seu servidor pelo plugin The Events Calendar

Falha de controle de acesso no OpenMRS deixa qualquer usuário logado alcançar ferramentas administrativas de dados médicos

Chef Automate recebe falha nota 10.0 que deixa invasores entrarem direto na sua infraestrutura

Agentes de IA invadem 395 organizações explorando falhas do PaperCut em questão de horas

Falha de alta severidade no Zenius EMS permite bypass de autenticação e inclusão remota de código