Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma vulnerabilidade crítica de cross-site scripting identificada como CVE-2026-60043 foi revelada nos backends web dos dispositivos Helmholz myrex24v2 e MBconnect24, com pontuação CVSS 3.1 de 9,3. A falha permite que um atacante remoto não autenticado atinja um usuário logado no backend e execute ações críticas no sistema, incluindo desligar o servidor ou restaurar um backup enviado.

Os produtos afetados incluem Helmholz myrex24v2, myrex24v2.virtual, myrex24v2virtual e myrex24v2_firmware, além das linhas MB_connect_line e MBconnectline mbconnect24 e mymbconnect24. Equipes de segurança devem tratar o caso como prioridade máxima de correção: sanitizar entradas fornecidas pelo usuário, validar a saída antes da renderização, aplicar uma política rigorosa de segurança de conteúdo e atualizar o software afetado.

Falha XSS crítica em backends Helmholz e MBconnect24 exige ação imediata

#cybersecurity #critical #vulnerability #patching #xss #helmholz #mbconnect24

Ver detalhe →

Uma vulnerabilidade recém-divulgada no roteador Oray Pugongying X5 Pro, firmware 7.6.1, é do tipo que não deixa dúvidas sobre a gravidade. Ao manipular o argumento info.community no manipulador SNMP, um atacante consegue injetar caracteres de nova linha na community string e, segundo o advisory, fazer o snmpd executar comandos com privilégios de root. A pontuação CVSS 3.1 é de 9.9, classificada como crítica, e a falha pode ser explorada remotamente sem qualquer autenticação.

Pior: o código de exploração já está público e o fornecedor foi contatado cedo, mas não respondeu. Na prática, cada interface SNMP exposta desses roteadores virou um convite aberto, e quem paga a conta são os defensores, enquanto um caminho crítico de injeção de comandos segue escancarado.

Se você usa esse equipamento, bloqueie agora o acesso de gerenciamento SNMP vindo da internet, restrinja-o a redes confiáveis, aplique validação rígida nas community strings e trate o patch do fabricante como atrasado, não como opcional. Colocar a administração remota atrás de um túnel criptografado, como o ProtonVPN, é uma forma barata de reduzir a superfície de ataque enquanto a correção não chega.

Falha crítica 9.9 no roteador Oray Pugongying X5 Pro permite executar comandos como root via SNMP

#cybersec #critical #vulnerability #exploit #cve #router #snmp #remote

Ver detalhe →

O Vanus 0.8.0 até 0.9.0 está sendo distribuído com um token de administrador embutido no código, e esse único deslize entrega controle total de cluster-admin para atacantes remotos não autenticados. A falha, registrada como CVE-2026-111998, recebe nota 9.8 crítica no CVSS 3.1 e não exige mais do que enviar um Bearer token fixo para a porta do gateway gRPC.

Depois de entrar, o atacante pode gerenciar namespaces, eventbuses, usuários, tokens e role bindings, além de ler e publicar eventos em toda a implantação. Sem quebra de senha, sem cadeia de exploração, sem interação do usuário, apenas uma credencial padrão fazendo exatamente o que credenciais padrão sempre fazem.

A correção é direta e urgente: remover ou trocar as credenciais padrão, atualizar o Vanus para uma versão corrigida, restringir o acesso à porta do proxy do gateway e monitorar tentativas de acesso não autorizado. Se o Vanus roda na sua stack de produção, esse é um problema de hoje, não de amanhã.

Vanus traz token de administrador embutido e entrega takeover de cluster crítico 9.8

#cybersec #critical #vulnerability #cve #vanus #default-credentials #cluster-admin

Ver detalhe →

Uma vulnerabilidade crítica, identificada como CVE-2026-87911 e avaliada em 9.6 na escala CVSS, foi divulgada no servidor Postgres MCP da AWS Labs. Antes da versão 1.1.7, o componente de validação SQL não impõe corretamente o modo somente leitura, permitindo que uma instrução criada com COPY ... TO PROGRAM escape do banco e execute comandos no sistema operacional.

Se um atacante colocar conteúdo malicioso para ser processado por uma pessoa autenticada ou por um fluxo automatizado do MCP, o modo somente leitura padrão não é suficiente para bloquear o ataque. Como a execução pode ocorrer remotamente e o impacto é crítico, quem usa postgres-mcp-server deve atualizar para a versão 1.1.7 ou mais recente imediatamente.

Falha crítica no servidor Postgres MCP da AWS permite executar comandos do sistema ao burlar o modo somente leitura

#cybersecurity #critical #aws #mcp #cve-2026-87911 #os-command-injection #postgresql

Ver detalhe →

Uma vulnerabilidade recem-divulgada no N-able N-central esta abalando o mundo da gestao de TI. Registrada como CVE-2026-86218, essa falha de execucao remota de codigo sem autenticacao tem pontuacao CVSS 4.0 perfeita de 10 e nao exige credenciais para ser explorada, tornando-se uma das descobertas mais graves para provedores de servicos gerenciados nos ultimos tempos.

Atacantes podem comprometer remotamente instancias do N-central anteriores a versao 2026.3.1.14, assumindo o controle de sistemas que gerenciam milhares de endpoints. Se voce usa o N-central, atualizar para 2026.3.1.14 ou superior deve ser prioridade imediata. E, enquanto reforca a infraestrutura, considere adicionar uma camada extra de privacidade com o ProtonVPN para proteger seu trafego administrativo.

RCE critica sem autenticacao divulgada no N-able N-central com CVSS 10 perfeito

#cybersecurity #rce #critical #vulnerability #patch #cve-2026-86218 #n-central

Ver detalhe →

Uma vulnerabilidade crítica, registrada como CVE-2026-67402, recebeu pontuação 9.2 no CVSS e está colocando administradores de servidores em alerta. O problema afeta instalações do ConfigServer Security & Firewall com o Messenger v3 e o modo HTTPS habilitado.

Por causa de uma configuração insegura no Apache, que mapeia /usr/bin como programas CGI, um atacante remoto não autenticado pode executar comandos arbitrários como o usuário Apache, mesmo se o endereço IP já estivesse bloqueado.

A correção já está disponível na versão 16.31. Atualize imediatamente, desative o modo HTTPS do Messenger v3 se não for necessário e revise o acesso a diretórios sensíveis.

Alerta crítico: falha no ConfigServer Security & Firewall permite execução remota de código

#cybersecurity #rce #critical #vulnerability #firewall #cve-2026-67402 #server-security

Ver detalhe →

Uma vulnerabilidade crítica foi divulgada no popular plugin do WordPress The Events Calendar, uma das soluções de gerenciamento de eventos mais usadas na web. Registrada como CVE-2026-78265, a falha é uma injeção de objetos PHP sem autenticação nas versões até 6.17.2, com pontuação CVSS de 9.8 em 10.

Como a exploração não exige autenticação, qualquer invasor remoto pode potencialmente acionar uma desserialização perigosa, levando à execução de código arbitrário, acesso total ao banco de dados e comprometimento completo do site. Quem usa The Events Calendar deve tratar isso como uma emergência e atualizar para a versão 6.17.3 ou posterior agora mesmo.

Injeção Crítica de Objetos PHP sem Autenticação Atinge The Events Calendar (CVE-2026-78265)

#cybersecurity #critical #vulnerability #wordpress #cve #php-object-injection #the-events-calendar

Ver detalhe →

Pesquisadores de segurança revelaram a CVE-2026-76158, uma vulnerabilidade crítica no Datiphy Data Management Center, versões v8.3.0 até v8.5.1. A falha afeta o endpoint da API de upload e permite que atacantes remotos gravem arquivos em locais arbitrários fora do diretório de upload usando sequências de caminho relativas ou absolutas.

Com pontuação 9.3 no CVSS 4.0, esse problema de path traversal tem severidade crítica e pode levar a escrita de arquivos não autorizados e possível comprometimento grave do sistema. Equipes que usam as versões afetadas devem atualizar o Datiphy Data Management Center imediatamente, validar rigorosamente os caminhos de arquivo e restringir o acesso de escrita apenas aos diretórios autorizados.

Falha crítica no Datiphy Data Management Center permite gravar arquivos em locais arbitrários

#cybersec #infosec #critical #vulnerability #cve #datiphy #path-traversal

Ver detalhe →

Pesquisadores de segurança revelaram uma vulnerabilidade crítica no plugin Link Factory do WordPress, mostrando que ele age como uma backdoor oculta em vez de um simples publicador de frases para a página inicial. Com pontuação CVSS 10.0, o plugin expõe uma API REST controlada pelo operador em /wp-json/link-factory/v1/, autenticada apenas por uma assinatura Ed25519 com chave pública fixa.

Isso significa que um invasor remoto pode assumir o controle total de sites que usam o plugin, incluindo leitura e alteração de dados, sem passar pela autenticação padrão. A exploração é remota e não há versões seguras disponíveis.

A recomendação é direta: remova o Link Factory imediatamente e audite todos os plugins instalados no WordPress para verificar se há códigos maliciosos. Administradores de sites devem revisar também o WPScan e conferir endpoints REST expostos.

Backdoor crítica descoberta no plugin WordPress 'Link Factory' - alerta de CVSS 10.0

#cybersecurity #critical #vulnerability #wordpress #backdoor #cve #plugin #web-security

Ver detalhe →

Pesquisadores de segurança revelaram uma falha crítica no ScadaLTS 2.7.8.1 que merece atenção imediata de todos os administradores. A vulnerabilidade, registrada como CVE-2026-19656, permite que qualquer usuário autenticado, inclusive com permissão somente leitura, execute comandos arbitrários no sistema operacional do servidor.

Com pontuação CVSS 9.9, a exploração bem-sucedida executa código no contexto do processo do ScadaLTS, geralmente como root, levando ao comprometimento total do sistema. Como o problema é explorável remotamente, atualizar o ScadaLTS para uma versão corrigida e reforçar controles de autorização devem ser prioridades máximas.

Falha crítica no ScadaLTS permite que usuários de baixo privilégio executem comandos como root

#security #scadalts #cve-2026-19656 #rce #critical #scada #vulnerability

Ver detalhe →