Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma vulnerabilidade crítica no plugin Gravity Forms para WordPress, afetando versões até 3.0.2, permite que atacantes não autenticados façam upload de arquivos arbitrários. Ao explorar uma confusão de hash em uploads de múltiplos arquivos, é possível gravar um arquivo poliglota PHP ou HTML no diretório temporário, levando à execução remota de código em servidores NGINX ou similares.

Mesmo quando a execução de PHP é bloqueada, a falha ainda possibilita ataques de cross-site scripting persistente. Atualize o Gravity Forms para a versão 3.0.3 ou superior e confirme que a proteção .htaccess do plugin continua ativa para evitar a execução de arquivos maliciosos.

Falha crítica no Gravity Forms permite upload arbitrário de arquivos e execução remota de código no WordPress

#cybersec #infosec #rce #vulnerability #wordpress #cve #gravityforms

Ver detalhe →

Um RCE crítico acaba de ser divulgado para o MCPHub. O CVE-2026-79748 é uma falha de severidade 9.9 que permite que qualquer usuário autenticado sem privilégios de admin execute comandos arbitrários no servidor por meio do endpoint /api/servers. Como o MCPHub executa processos stdio sem sanitização, um atacante pode invocar /bin/sh com argumentos personalizados e assumir o host, geralmente como root em implantações Docker e npx.

A versão 0.12.15 corrige o problema. Se você usa MCPHub, atualize agora, restrinja o acesso aos endpoints sensíveis e valide todos os campos de comando e argumento. Esse é exatamente o tipo de vulnerabilidade que tira o sono de quem administra infraestrutura.

RCE crítico no MCPHub: qualquer usuário logado pode executar comandos como root

#security #cybersecurity #infosec #rce #vulnerability #cve #mcphub

Ver detalhe →

Pesquisadores de segurança identificaram a CVE-2026-19410, uma vulnerabilidade crítica no controle de comentários de gatilho do GitHub no Google Cloud Build. Com pontuação CVSS 9.4, a falha poderia permitir que um atacante remoto burlasse a autorização e executasse código não revisado no ambiente de build por meio de supressão de webhook.

A boa notícia é que o Google já corrigiu o problema em 24 de junho de 2026 e nenhuma ação do cliente é necessária. Ainda assim, o caso reforça a importância de manter pipelines de CI/CD seguros e monitorar atividades suspeitas de webhooks.

Falha crítica no Google Cloud Build pode permitir execução de código não revisado via supressão de webhook

#cybersecurity #infosec #vulnerability #cve #cloud-security #google-cloud-build #webhook #cve-2026-19410

Ver detalhe →

Uma falha recém-divulgada, rastreada como CVE-2026-82635, afeta versões do Pake anteriores à 3.13.1 com um grave bug de path traversal. O comando Tauri download_file junta um nome de arquivo controlado pelo invasor diretamente ao diretório Downloads do usuário, então um nome malicioso como ../Library/LaunchAgents/com.evil.plist pode escapar da pasta. O conteúdo remoto é baixado e gravado em qualquer local gravável, incluindo pastas de inicialização automática no Windows, macOS e Linux.

Com pontuação CVSS 8.8 e exploração remota confirmada, este é um alerta crítico para desenvolvedores e usuários de apps desktop baseados em Pake. Atualize para o Pake 3.13.1 ou mais recente imediatamente, sanitize nomes de arquivo e revise qualquer comando Tauri que lide com downloads.

Vulnerabilidade crítica no Pake permite invasores sequestrarem PCs com download malicioso

#cybersec #vulnerability #cve #path-traversal #pake #code-execution

Ver detalhe →

Uma vulnerabilidade crítica de execução remota de código não autenticada foi encontrada no plugin Sigma Forms Pro para WordPress, afetando todas as versões até a 1.4.5. Registrada como CVE-2026-14494 com pontuação CVSS 9.8, a falha permite que atacantes não autenticados enviem arquivos maliciosos e executem código em servidores vulneráveis.

A exploração é facilitada por vários templates padrão — incluindo Job Application, Support Ticket e Wholesale Application — que já vêm com campos de upload sem restrição de tipos de arquivo. O plugin também concede a capacidade unfiltered_upload durante o envio de formulários e ignora a validação MIME quando allowed_file_types não está configurado.

Atualize o Sigma Forms Pro para a versão 1.4.6 imediatamente, restrinja os tipos de upload permitidos e revise as capacidades de usuários após o patch. Enquanto protege seu site, considere também proteger seu próprio tráfego com uma VPN confiável.

RCE crítica não autenticada descoberta no plugin Sigma Forms Pro para WordPress — atualize agora

#cybersecurity #infosec #rce #vulnerability #wordpress #cve #plugin

Ver detalhe →

Uma vulnerabilidade recém-descoberta no Klever-Go, a implementação Go da blockchain Klever, transformou a mecânica de royalties em uma máquina de criar tokens. Quando um royalty de transferência é configurado com split de exatamente 100%, o código pula o débito da conta de origem e ainda paga o valor total ao destinatário. O contador de supply nunca é atualizado, o que permite inflar KDA sem qualquer registro.

Registrada como CVE-2026-55763, a falha afeta versões anteriores à 1.7.19 e já tem correção disponível. Uma configuração específica é necessária para explorar, mas o impacto econômico pode ser devastador. Quem usa essa blockchain deve atualizar imediatamente para evitar inflação ilimitada de tokens e recuperar a confiança no ecossistema.

Falha crítica no Klever-Go permite criar KDA do nada — atualize agora

#fintech #security #vulnerability #cve #crypto #blockchain #klever #kda

Ver detalhe →

Um alerta urgente de segurança acaba de ser divulgado para o Wazuh, uma das plataformas de segurança open-source mais populares do mercado. Uma falha crítica (CVE-2026-61800) no processo de sincronização de arquivos do cluster permite que qualquer pessoa com a chave do cluster grave, sobrescreva ou apague arquivos arbitrários em /var/ossec nos nós workers — resultando em execução remota de código como root.

A parte mais assustadora? Essa é uma correção incompleta para uma vulnerabilidade já corrigida anteriormente, o que significa que invasores podem continuar comprometendo sistemas. A boa notícia: a correção já está disponível na versão 4.14.7. Se você usa Wazuh, atualize imediatamente e revise a segurança da sua chave de cluster.

Falha crítica no Wazuh permite invasão total de servidores — atualize agora

#security #rce #vulnerability #patch #cve #siem #wazuh #xdr

Ver detalhe →

O GitLab lançou correções urgentes para uma vulnerabilidade de alta gravidade de Server-Side Request Forgery (SSRF) no AI Gateway. Registrada como CVE-2026-75871, a falha permite que um usuário autenticado com acesso ao Duo Agent Platform redirecione requisições de modelos para um endpoint controlado pelo atacante, manipulando a configuração de fluxo inline e sobrescrevendo o cabeçalho HTTP Host.

Com pontuação CVSS 8.2 e exploração remota, o ataque pode expor credenciais do Google Cloud Vertex e chaves privadas de assinatura. A recomendação é clara: atualize o GitLab AI Gateway para a versão corrigida imediatamente, valide as configurações de fluxo e restrinja o acesso ao Duo Agent Platform.

Vulnerabilidade SSRF no AI Gateway do GitLab expõe credenciais da nuvem — atualize já

#cybersec #vulnerability #cve #ai-gateway #cloud-security #gitlab #ssrf

Ver detalhe →

Hackers estão explorando ativamente uma falha crítica de injeção de código no Gitea, um popular serviço Git auto-hospedado, segundo a CISA. Registrada como CVE-2026-60004, a vulnerabilidade permite que atacantes executem comandos arbitrários em servidores vulneráveis apenas enviando patches maliciosos — e instalações padrão com registro aberto facilitam ainda mais o ataque.

Com quase 5.000 instâncias do Gitea expostas na internet e relatos de mineradores de criptomoedas sendo instalados em servidores sem correção, a urgência é grande. A CISA ordenou que agências federais dos EUA apliquem a correção em até três dias. Se você usa Gitea, atualize para a versão 1.27.1 agora mesmo e restrinja o registro de novas contas.

Enquanto os administradores corrigem seus servidores, proteger cada ponto da sua vida digital é essencial. Uma VPN confiável adiciona uma camada extra de privacidade às suas conexões — conheça a ProtonVPN para navegar com mais segurança.

Falha crítica no Gitea está sendo explorada ativamente — 5.000 servidores expostos

#hacking #cybersecurity #infosec #vulnerability #cisa #cve #gitea

Ver detalhe →

Uma vulnerabilidade de alta gravidade foi descoberta no plugin CM Map Locations para WordPress, nas versões até 2.1.8. A falha permite que invasores autenticados, mesmo com acesso de assinante, enviem arquivos arbitrários — incluindo arquivos potencialmente executáveis — o que pode levar à execução remota de código nos sites afetados.

O problema está no manipulador de upload do plugin, que faz filtragem incompleta de extensões sem verificação de tipo MIME ou validação adequada de permissões. Para piorar, o nonce necessário é exposto a qualquer assinante logado. Se você usa o CM Map Locations, atualize para a versão 2.1.9 imediatamente e revise o site em busca de arquivos não autorizados.

Reforçar sua presença online começa com boas ferramentas de segurança. Proteja suas conexões e mantenha seu trabalho privado com uma VPN confiável como a ProtonVPN — confira o link abaixo para garantir sua proteção.

Plugin CM Map Locations para WordPress é atingido por falha crítica de upload de arquivos — atualize para a 2.1.9

#cybersec #security #rce #vulnerability #wordpress #cve #plugin

Ver detalhe →

Uma vulnerabilidade crítica foi divulgada no popular plugin do WordPress The Events Calendar, uma das soluções de gerenciamento de eventos mais usadas na web. Registrada como CVE-2026-78265, a falha é uma injeção de objetos PHP sem autenticação nas versões até 6.17.2, com pontuação CVSS de 9.8 em 10.

Como a exploração não exige autenticação, qualquer invasor remoto pode potencialmente acionar uma desserialização perigosa, levando à execução de código arbitrário, acesso total ao banco de dados e comprometimento completo do site. Quem usa The Events Calendar deve tratar isso como uma emergência e atualizar para a versão 6.17.3 ou posterior agora mesmo.

Injeção Crítica de Objetos PHP sem Autenticação Atinge The Events Calendar (CVE-2026-78265)

#cybersecurity #critical #vulnerability #wordpress #cve #php-object-injection #the-events-calendar

Ver detalhe →

Uma vulnerabilidade crítica de bypass de autenticação foi divulgada no plugin Automation Web Platform para WordPress, afetando versões até 4.8.6. A falha está na função handle_email_otp_return(), que devolve o token secreto de login na resposta de uma requisição OTP pública, em vez de enviá-lo apenas para o e-mail do usuário.

Com pontuação CVSS 9.8, atacantes não autenticados podem entrar como qualquer usuário, incluindo administradores, apenas sabendo o e-mail da vítima. Atualize o plugin imediatamente e revise o fluxo de autenticação OTP antes que a falha seja explorada em larga escala.

Bypass crítico de autenticação no WordPress expõe contas de administrador em plugin Automation Web Platform

#cybersecurity #vulnerability #authentication-bypass #wordpress #cve #plugin #otp

Ver detalhe →