Atualizações de registros e alertas verificadas nesta edição · 62
10/28 confirmado por volta de 04:00 / 11:00 JST, comunicado nº 13
GMO: suspensão do domínio do site dos criminosos e novas informações sobre a compensação
O comunicado de número 13 confirma a suspensão do domínio do site dos criminosos por volta de 04:00 em 28/10. A suspensão não significa que tenham sido concluídos a recuperação das informações, a exclusão das cópias ou o restabelecimento do serviço. O limite de 300 dezenas de milhares de ienes para o auxílio financeiro especial mencionado no comunicado de número 12 faz parte de um programa sujeito a condições e não corresponde ao valor total dos danos nem ao valor já pago. O comunicado de número 12 apresenta uma divergência entre o título 19:10 e a seção de histórico 19:00.
O que verificar: Não acesse o site dos criminosos nem os materiais vazados. Confira os contatos individuais oficiais, o ambiente alternativo e as condições de compensação. Não atenda a contatos oportunistas que solicitem credenciais ou taxas.
Fontes primárias e referências: GMO第13報 / GMO第12報
10/28 12:30 JST, atualização
@link: testes da versão beta em algumas instituições de saúde, sem retomada integral
A atualização de 28/10, às 12:30, informa apenas o início do uso experimental da versão beta na nuvem em algumas instituições de saúde. O aplicativo para pacientes, as reservas pela Web e a integração com sistemas externos, entre outros recursos, continuam suspensos. Os impactos nas atividades de agendamento das instituições persistem, e a quantidade de registros abrangidos pelo vazamento ainda está sob investigação.
O que verificar: Confirme agendamentos e alterações diretamente com a instituição de saúde utilizada. Diferencie as previsões de retomada e reembolso das ações já realizadas e confira as orientações de redefinição de senha na retomada.
Fontes primárias e referências: @link運営状況 / メドレー
10/28 00:19 JST, status
Railway: novos cadastros continuam suspensos; próximo relatório previsto para depois do horário de referência
A atualização de status de 27/10, às 15:19 UTC, mantém a suspensão de novos cadastros, sem data definida para a retomada. Diferencie a continuidade das implantações existentes das falhas em builds, no painel e em outros recursos. Cerca de 100,000 workspaces e até 1.85% representam o alcance potencial do impacto sobre variáveis de ambiente, não um número confirmado de pessoas cujos dados vazaram.
O que verificar: Revogue e reemita os segredos antigos junto aos emissores e faça uma auditoria. Não trate o próximo relatório, previsto para 28/10, às 16:00 UTC, como uma restauração já realizada no horário de referência desta edição.
Fontes primárias e referências: Railway status / 公式予備報告
10/28 00:30 JST, atualização
Studio: recebimento de notificações conjuntas previsto para o início do mês 11
Na atualização do dia 28, às 00:30, o recebimento de notificações conjuntas à Comissão de Proteção de Informações Pessoais ainda não havia começado. A comunicação aos titulares não está incluída na notificação conjunta. Foram confirmadas a leitura da chave criptográfica e a condição que permitia a obtenção externa de informações, mas a quantidade de registros efetivamente obtidos permanece indefinida.
O que verificar: Investigue como os dados dos formulários são utilizados e avalie separadamente a comunicação aos titulares. Revogue as chaves de APIs externas junto aos emissores. Não considere que apenas a troca da chave elimina a possibilidade de obtenção anterior dos dados.
Fontes primárias e referências: Studio公式ポータル
10/28 04:00:02 JST, publicação do catálogo
KEV: inclusão de Brotli e Adobe Commerce; exploração confirmada deve orientar a prioridade
A edição 2026.10.27 da CISA contém 1,760 entradas. CVE-2026-111497 e CVE-2026-48356 foram incluídas, com prazo em 10/11. Trata-se da confirmação de exploração das vulnerabilidades, não de que todos os ambientes .NET e Node.js ou todos os estabelecimentos comerciais foram comprometidos. Não são informados números de vítimas nem valores de perdas efetivas.
O que verificar: Confira as correções por produto, como Brotli 1.2.1 e Node.js 22.23.4 / 24.22.1 / 26.12.1. Para Adobe, confira a atualização cumulativa de julho por versão no APSB26-73. Não trate o prazo do KEV para órgãos federais dos EUA como um prazo legal para todos os usuários.
Fontes primárias e referências: CISA KEV / Google Brotli / Node.js / Adobe APSB26-73
Novo comunicado oficial após o horário de referência anterior
Citrix NetScaler: confira as versões com correção de PHP em cada linha
O CTX697263 orienta a atualização para ADC/Gateway 14.1-73.49, 13.1-64.32, 14.1-73.49 FIPS e 13.1-FIPS/NDcPP 13.1.37.286 ou posteriores. Informa que a nuvem gerenciada pelo fornecedor já foi tratada e não exige ação dos clientes.
O que verificar: Confira, em cada linha, a versão dos appliances que você administra. Não determine a existência de backport da correção apenas pela versão upstream do PHP exibida. Restrinja a interface de gerenciamento e investigue possíveis comprometimentos.
Fontes primárias e referências: Citrix CTX697263
Tabela atual da revisão oficial de 10/27
PAN-OS: diferencie versões já lançadas das indicações de ETA
A tabela oficial lista versões corrigidas, como 12.2.4-h1 / 12.1.7-h11 / 11.2.10-h16, enquanto 11.2.13-h4, 11.2.16-h1 e outras ainda têm indicação de ETA. Não considere uma versão lançada apenas porque a data prevista passou. O problema de PHP está na interface de gerenciamento; isso não significa que todo o tráfego do plano de dados esteja sujeito às mesmas condições.
O que verificar: Confira na tabela oficial AffectedVersions as versões efetivamente lançadas em cada linha e atualize. Restrinja a interface de gerenciamento a origens confiáveis e, separadamente da atualização, verifique indícios de comprometimento.
Fontes primárias e referências: Palo Alto Networks
Publicado em 10/27
WatchGuard: 18 alertas; confira as condições da integração com AD e o cliente Windows
A lista oficial de 27/10 contém 17 alertas para Fireware e 1 para Windows Mobile VPN SSL. O estouro de heap na autenticação AD depende de condições como a configuração do AD. O problema de interceptação de comunicação local do cliente VPN também afeta o Windows. O fornecedor informa não ter conhecimento de exploração efetiva nos respectivos alertas.
O que verificar: Atualize conforme a linha: Fireware 2026.4 / 12.12.4; para T15/T35, 12.5.22, entre outras versões. Para CVE-2026-115495, atualize o cliente VPN do Windows para 2026.4; não basta atualizar o Firebox. Confira no original as diferenças de indicação entre a seção Solution e a tabela de produtos.
Fontes primárias e referências: WatchGuard PSIRT / AD認証 / Windows VPN
Publicado em 10/27
Navegadores e e-mail: atualizações de Firefox / ESR / Thunderbird / Chrome
A Mozilla publicou Firefox 159, ESR 153.6 / 115.44 e Thunderbird 159 / 153.6 em 27/10. O Chrome stable está sendo distribuído gradualmente nas versões Windows/Mac 156.0.8078.73/.74 e Linux/Android 156.0.8078.73. A quantidade de alertas não representa a quantidade de incidentes com vítimas.
O que verificar: Execute as atualizações e reinicie. Confira a linha com suporte compatível com o sistema operacional e a política de gerenciamento da empresa. Não acrescente CVEs fictícios nem classificações de dia zero aos detalhes ainda não publicados do Chrome.
Fontes primárias e referências: Mozilla / Firefox159 / Chrome releases
Alerta de 10/27
Creative Cloud para Windows: correção de elevação local de privilégios
O APSB26-135 corrige, na versão 6.11, um problema no caminho de pesquisa presente na versão Windows 6.10 e anteriores. O fornecedor informa não ter conhecimento de exploração efetiva. O anúncio não confirma comprometimento de usuários.
O que verificar: Atualize o Creative Cloud Desktop para 6.11 ou posterior. Confira a versão efetivamente instalada nos dispositivos.
Fontes primárias e referências: Adobe APSB26-135
Publicação GHSA: 2026-10-27T21:26:32Z a 2026-10-27T21:26:56Z
MLflow: leitura de arquivos, execução de scorer e registro de chaves em traces
Além de servidores sem autenticação, alguns problemas também afetam usuários com poucos privilégios que utilizam basic-auth. Inclui o problema de registro de chaves de API em traces do autolog do CrewAI. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Atualize para 3.17.0. Restrinja o acesso público, inspecione os destinos de traces e de saída OTLP e revogue as chaves de provedores que tenham sido expostas.
Por comunicado: versões afetadas e versões corrigidas (3)
MLflow vulnerable to arbitrary file read on unauthenticated servers via prompt model version source
mlflow (pip): Versões afetadas >= 3.10.0, < 3.17.0 → Versão corrigida 3.17.0
MLflow CrewAI autologging records LLM provider API keys in logged trace spans
mlflow (pip): Versões afetadas >= 2.19.0, < 3.17.0 → Versão corrigida 3.17.0
MLflow vulnerable to remote code execution on unauthenticated servers via third-party scorer deserialization importing caller-placed artifact modules
mlflow (pip): Versões afetadas >= 3.12.0rc0, < 3.17.0 → Versão corrigida 3.17.0
Fontes primárias e referências: GHSA-m65p-9j7q-6w33 / GHSA-j7qq-vr8c-xvw3 / GHSA-26p8-2jq9-3vq9
Publicação GHSA: 2026-10-27T21:07:25Z a 2026-10-27T21:07:25Z
dd-trace-js: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
dd-trace: ReDOS in URL query string obfuscation
dd-trace (npm): Versões afetadas >= 2.0.0, < 5.131.1 → Versão corrigida 5.131.1dd-trace (npm): Versões afetadas >= 6.0.0, < 6.20.1 → Versão corrigida 6.20.1
Fontes primárias e referências: GHSA-x94g-w73q-hpcw
Publicação GHSA: 2026-10-27T21:07:12Z a 2026-10-27T21:07:12Z
tinymce: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` serialization
tinymce (npm): Versões afetadas >= 8.5.1, < 8.9.3 → Versão corrigida 8.9.3TinyMCE (nuget): Versões afetadas >= 8.5.1, < 8.9.3 → Versão corrigida 8.9.3tinymce/tinymce (composer): Versões afetadas >= 8.5.1, < 8.9.3 → Versão corrigida 8.9.3tinymce (npm): Versões afetadas = 7.9.3 → Versão corrigida 7.9.4TinyMCE (nuget): Versões afetadas = 7.9.3 → Versão corrigida 7.9.4tinymce/tinymce (composer): Versões afetadas = 7.9.3 → Versão corrigida 7.9.4
Fontes primárias e referências: GHSA-mf2p-h6hf-fcwm
Publicação GHSA: 2026-10-27T21:05:29Z a 2026-10-27T21:06:59Z
MCP Python SDK: validação de audience e referências de redirecionamento e schema
Diferencie a validação do resource de destino do bearer token, o encaminhamento de cabeçalhos personalizados e corpo em redirecionamentos entre origens e o SSRF ou a interrupção causados por referências externas de outputSchema. Não classifique tudo como vazamento apenas do cabeçalho Authorization. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Atualize para 1.30.0 / 2.2.0 ou posterior. A proteção de audience também exige validate_token_resource=True, resource_server_url e o retorno de AccessToken.resource. Apenas atualizar não ativa a validação.
Por comunicado: versões afetadas e versões corrigidas (3)
Model Context Protocol Python SDK: Server bearer-token authentication accepts tokens issued for a different resource server
mcp (pip): Versões afetadas >= 2.0.0, < 2.2.0 → Versão corrigida 2.2.0mcp (pip): Versões afetadas >= 1.10.0, < 1.30.0 → Versão corrigida 1.30.0
Model Context Protocol Python SDK: HTTP client transports followed cross-origin redirects carrying custom headers and bodies
mcp (pip): Versões afetadas >= 2.0.0, < 2.2.0 → Versão corrigida 2.2.0mcp (pip): Versões afetadas >= 1.8.0, < 1.30.0 → Versão corrigida 1.30.0
Model Context Protocol Python SDK: Client fetched server-chosen $ref URLs while validating tool results against output schemas
mcp (pip): Versões afetadas >= 2.0.0, < 2.2.0 → Versão corrigida 2.2.0mcp (pip): Versões afetadas >= 1.10.0, < 1.30.0 → Versão corrigida 1.30.0
Fontes primárias e referências: GHSA-w4fh-qvv9-3v23 / GHSA-5h93-6whr-6q8j / GHSA-rwrf-2pqf-9j8j
Publicação GHSA: 2026-10-27T21:06:54Z a 2026-10-27T21:06:54Z
opentelemetry-python: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
OpenTelemetry Python: Unbounded memory allocation in Jaeger baggage propagation
opentelemetry-propagator-jaeger (pip): Versões afetadas <= 1.44.0 → Versão corrigida 1.45.0
Fontes primárias e referências: GHSA-f5m9-jfrj-jjj7
Publicação GHSA: 2026-10-27T21:05:06Z a 2026-10-27T21:05:13Z
ckeditor5: confira os alertas publicados e o alcance das correções
Foram confirmados 2 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (2)
CKEditor: Cross-site scripting (XSS) in the engine package
ckeditor5 (npm): Versões afetadas >= 29.0.0, < 47.7.4 → Versão corrigida 47.7.4@ckeditor/ckeditor5-engine (npm): Versões afetadas >= 29.0.0, < 47.7.4 → Versão corrigida 47.7.4ckeditor5 (npm): Versões afetadas >= 48.0.0, < 48.5.1 → Versão corrigida 48.5.1@ckeditor/ckeditor5-engine (npm): Versões afetadas >= 48.0.0, < 48.5.1 → Versão corrigida 48.5.1
CKEditor: Cross-site scripting (XSS) in the engine package
ckeditor5 (npm): Versões afetadas >= 45.0.0, < 47.7.4 → Versão corrigida 47.7.4@ckeditor/ckeditor5-engine (npm): Versões afetadas >= 45.0.0, < 47.7.4 → Versão corrigida 47.7.4ckeditor5 (npm): Versões afetadas >= 48.0.0, < 48.5.1 → Versão corrigida 48.5.1@ckeditor/ckeditor5-engine (npm): Versões afetadas >= 48.0.0, < 48.5.1 → Versão corrigida 48.5.1
Fontes primárias e referências: GHSA-v6mg-96c6-gmpq / GHSA-rh54-vffm-5fvp
Publicação GHSA: 2026-10-27T21:04:57Z a 2026-10-27T21:04:57Z
neko: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Neko: Authorization bypass in legacy WebRTC input handling
github.com/m1k1o/neko/server (go): Versões afetadas >= 0.0.0-20250401220545-fe94c999c6af, < 0.0.0-20260805142851-395ca1a6f62b → Versão corrigida 0.0.0-20260805142851-395ca1a6f62b
Fontes primárias e referências: GHSA-5cp7-fp4j-wwcv
Publicação GHSA: 2026-10-27T21:04:50Z a 2026-10-27T21:04:50Z
Atlantis: injeção de comandos pelo workspace na etapa de plan
O workspace no atlantis.yaml de um PR em que plan é executado constitui o caminho de ataque. O problema pode ocorrer mesmo sem custom workflow ou permissão de apply. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Atualize para 0.47.1. Restrinja a execução de plan em PRs não confiáveis e revise as permissões de nuvem e VCS do runner.
Por comunicado: versões afetadas e versões corrigidas (1)
Atlantis: OS command injection through PR-controlled Terraform workspace enables RCE during plan
github.com/runatlantis/atlantis (go): Versões afetadas >= 0.4.0, <= 0.47.0 → Versão corrigida 0.47.1
Fontes primárias e referências: GHSA-rjh2-4xgw-p2hj
Publicação GHSA: 2026-10-27T21:04:40Z a 2026-10-27T21:04:40Z
filebrowser: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
FileBrowser: Symlink following escapes user scope allowing arbitrary file read outside the served directory
github.com/gtsteffaniak/filebrowser/backend (go): Versões afetadas < 0.0.0-20260814233832-4126edeb07a0 → Versão corrigida 0.0.0-20260814233832-4126edeb07a0
Fontes primárias e referências: GHSA-mgqf-5mf5-prfj
Publicação GHSA: 2026-10-27T16:09:45Z a 2026-10-27T19:02:31Z
undici: validação TLS, limites do cache e DoS
Problemas sujeitos a condições específicas, como propagação de opções TLS, redirecionamentos entre origens, cache compartilhado e buffering de WebSocket. Não considere o fetch padrão do Node.js e a dependência npm separada como uma mesma versão implantada. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira as linhas aplicáveis 6.29.1 / 7.30.1 / 8.12.2. Atualize separadamente a dependência npm e o runtime que a incorpora e verifique também o compartilhamento de cache, os redirecionamentos e as configurações TLS.
Por comunicado: versões afetadas e versões corrigidas (6)
undici vulnerable to cache poisoning and cross-user disclosure via cross-origin redirects
undici (npm): Versões afetadas >= 7.0.0, < 7.30.1 → Versão corrigida 7.30.1undici (npm): Versões afetadas >= 8.0.0, < 8.12.2 → Versão corrigida 8.12.2
undici vulnerable to TLS certificate validation bypass via dropped tls options in Agent
undici (npm): Versões afetadas >= 4.0.0, < 6.29.1 → Versão corrigida 6.29.1undici (npm): Versões afetadas >= 7.0.0, < 7.30.1 → Versão corrigida 7.30.1undici (npm): Versões afetadas >= 8.0.0, < 8.12.2 → Versão corrigida 8.12.2
undici vulnerable to Denial of Service via TLS 1.2 certificate-changing renegotiation
undici (npm): Versões afetadas >= 4.2.1, < 6.29.1 → Versão corrigida 6.29.1undici (npm): Versões afetadas >= 7.0.0, < 7.30.1 → Versão corrigida 7.30.1undici (npm): Versões afetadas >= 8.0.0, < 8.12.2 → Versão corrigida 8.12.2
undici WebSocket client vulnerable to Denial of Service via unbounded automatic PONG buffering
undici (npm): Versões afetadas >= 5.15.0, < 6.29.1 → Versão corrigida 6.29.1undici (npm): Versões afetadas >= 7.0.0, < 7.30.1 → Versão corrigida 7.30.1undici (npm): Versões afetadas >= 8.0.0, < 8.12.2 → Versão corrigida 8.12.2
undici vulnerable to Denial of Service via unhandled exception in the decompress interceptor
undici (npm): Versões afetadas >= 7.15.0, < 7.30.1 → Versão corrigida 7.30.1undici (npm): Versões afetadas >= 8.0.0, < 8.12.2 → Versão corrigida 8.12.2
undici WebSocket client vulnerable to Denial of Service via failed HTTP/2 handshake
undici (npm): Versões afetadas >= 8.11.0, < 8.11.2 → Versão corrigida 8.11.2
Fontes primárias e referências: GHSA-4w7w-5xrc-9h26 / GHSA-2m5v-pch6-74hx / GHSA-qrxm-fqhp-jwvm / GHSA-9fm3-97px-rjf6 / GHSA-55wc-3pg8-jfw6 / GHSA-qq8j-7v2v-3rwp
Publicação GHSA: 2026-10-27T19:02:00Z a 2026-10-27T19:02:00Z
MCP TypeScript SDK: limites do corpo HTTP e do tamanho de lotes
O problema é o consumo de recursos causado por corpos excessivamente grandes e lotes JSON-RPC no transporte ou handler HTTP. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira os pacotes efetivamente utilizados, como sdk 1.30.1, server/node 2.1.0 e hono 2.0.1, e configure limites também no proxy reverso.
Por comunicado: versões afetadas e versões corrigidas (1)
MCP TypeScript SDK: HTTP server transports and handlers did not limit request body size or JSON-RPC batch length
@modelcontextprotocol/sdk (npm): Versões afetadas >= 1.10.0, < 1.30.1 → Versão corrigida 1.30.1@modelcontextprotocol/server (npm): Versões afetadas >= 2.0.0, < 2.1.0 → Versão corrigida 2.1.0@modelcontextprotocol/node (npm): Versões afetadas >= 2.0.0, < 2.1.0 → Versão corrigida 2.1.0@modelcontextprotocol/hono (npm): Versões afetadas >= 2.0.0, < 2.0.1 → Versão corrigida 2.0.1
Fontes primárias e referências: GHSA-f897-62hf-6gxq
Publicação GHSA: 2026-10-27T19:01:39Z a 2026-10-27T19:01:50Z
symfony: confira os alertas publicados e o alcance das correções
Foram confirmados 2 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (2)
Symfony: Unbounded Recursion in the YAML Inline Lexer Lets a Single Document Crash the Process
symfony/symfony (composer): Versões afetadas >= 2.0.0, < 5.4.54 → Versão corrigida 5.4.54symfony/symfony (composer): Versões afetadas >= 6.0.0, < 6.4.45 → Versão corrigida 6.4.45symfony/symfony (composer): Versões afetadas >= 7.0.0, < 7.4.18 → Versão corrigida 7.4.18symfony/symfony (composer): Versões afetadas >= 8.0.0, < 8.1.6 → Versão corrigida 8.1.6symfony/yaml (composer): Versões afetadas >= 2.0.0, < 5.4.54 → Versão corrigida 5.4.54symfony/yaml (composer): Versões afetadas >= 6.0.0, < 6.4.45 → Versão corrigida 6.4.45symfony/yaml (composer): Versões afetadas >= 7.0.0, < 7.4.18 → Versão corrigida 7.4.18symfony/yaml (composer): Versões afetadas >= 8.0.0, < 8.1.6 → Versão corrigida 8.1.6
Symfony: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header
symfony/http-foundation (composer): Versões afetadas >= 6.0.1, < 6.4.46 → Versão corrigida 6.4.46symfony/http-foundation (composer): Versões afetadas >= 7.0.0, < 7.4.19 → Versão corrigida 7.4.19symfony/http-foundation (composer): Versões afetadas >= 8.0.0, < 8.1.7 → Versão corrigida 8.1.7symfony/symfony (composer): Versões afetadas >= 6.0.1, < 6.4.46 → Versão corrigida 6.4.46symfony/symfony (composer): Versões afetadas >= 7.0.0, < 7.4.19 → Versão corrigida 7.4.19symfony/symfony (composer): Versões afetadas >= 8.0.0, < 8.1.7 → Versão corrigida 8.1.7symfony/http-foundation (composer): Versões afetadas >= 4.1.0, < 5.4.54 → Versão corrigida 5.4.54symfony/symfony (composer): Versões afetadas >= 4.1.0, < 5.4.54 → Versão corrigida 5.4.54
Fontes primárias e referências: GHSA-2v3c-qxhr-7vpv / GHSA-r925-mgvr-h9cc
Publicação GHSA: 2026-10-27T19:01:30Z a 2026-10-27T19:01:30Z
go-jose: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Go JOSE: DoS when parsing JWKs that contain RSA keys
github.com/go-jose/go-jose/v4 (go): Versões afetadas <= 4.1.5 → Versão corrigida 4.1.6github.com/go-jose/go-jose/v3 (go): Versões afetadas <= 3.0.5 → Versão corrigida Nenhuma versão corrigida informada
Fontes primárias e referências: GHSA-mgcc-cww5-fp2q
Publicação GHSA: 2026-10-27T19:00:50Z a 2026-10-27T19:00:50Z
terraform-provider-ctfd: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
CTFer.io's CTFd Terraform Provider allows a local or remote attacker to read team passwords in state as non sensitive values
github.com/ctfer-io/terraform-provider-ctfd (go): Versões afetadas >= 0.1.5, <= 1.1.0 → Versão corrigida Nenhuma versão corrigida informadagithub.com/ctfer-io/terraform-provider-ctfd/v2 (go): Versões afetadas < 2.8.2 → Versão corrigida 2.8.2
Fontes primárias e referências: GHSA-vg84-c5mg-76xh
Publicação GHSA: 2026-10-27T17:08:41Z a 2026-10-27T17:08:41Z
hydra: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Hydra legacy target blacklist permits unsafe PyYAML loading
hydra-core (pip): Versões afetadas >= 1.3.6, < 1.3.8 → Versão corrigida 1.3.8hydra-core (pip): Versões afetadas >= 1.4.0.dev9, < 1.4.0rc3 → Versão corrigida 1.4.0rc3
Fontes primárias e referências: GHSA-wf6j-7hvr-gr93
Publicação GHSA: 2026-10-27T16:10:55Z a 2026-10-27T16:10:55Z
qs: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
qs : qs.stringify with arrayFormat 'comma' throws an uncaught TypeError on array elements carrying a non-callable own toString (DoS)
qs (npm): Versões afetadas >= 6.7.0, <= 6.16.0 → Versão corrigida 6.16.1
Fontes primárias e referências: GHSA-6pq8-jhm2-2vcw
Publicação GHSA: 2026-10-27T14:50:18Z a 2026-10-27T16:09:22Z
Authlib: limites da validação de assinatura, nonce, audience e outros elementos
Inclui assinatura vazia, chave HMAC vazia, confusão de algoritmos e SSRF via request_uri, entre outros problemas. Apenas 1.9.0 não corrige suficientemente o problema da chave HMAC vazia. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira 1.9.1 ou posterior. Revise issuer, audience, nonce, algoritmos permitidos e configurações de chaves e restrinja os destinos de obtenção de request_uri.
Por comunicado: versões afetadas e versões corrigidas (8)
Authlib accepts an empty HMAC key, allowing JWS/JWT signature forgery (HS256/HS384/HS512)
Authlib (pip): Versões afetadas < 1.9.1 → Versão corrigida 1.9.1
Authlib: Unvalidated request_uri fetch in JWT-secured authorization request (JAR) leading to SSRF
authlib (pip): Versões afetadas >= 1.6.0, < 1.9.0 → Versão corrigida 1.9.0
Authlib: ID token can disable its own nonce validation via the nonce_supported claim
authlib (pip): Versões afetadas <= 1.8.0 → Versão corrigida 1.9.0
Authlib: Default JWT bearer grant accepts assertions for the wrong audience
authlib (pip): Versões afetadas < 1.9.0 → Versão corrigida 1.9.0
Authlib: OpenID implicit grant checks raw scope instead of allowed scope before issuing ID tokens
authlib (pip): Versões afetadas < 1.9.0 → Versão corrigida 1.9.0
Authlib incomplete algorithm-confusion fix permits HMAC forgery with prefixed public keys
authlib (pip): Versões afetadas >= 1.3.1, <= 1.8.0 → Versão corrigida 1.9.0
Authlib: is_secure_transport() loopback exemption can be bypassed with a userinfo component, allowing cleartext-HTTP URLs to non-loopback hosts
authlib (pip): Versões afetadas <= 1.7.2 → Versão corrigida 1.8.0
Authlib: empty signatures validation in JWS JSON deserialization
authlib (pip): Versões afetadas <= 1.8.0 → Versão corrigida 1.9.0
Fontes primárias e referências: GHSA-8m4g-j4wp-wgcg / GHSA-x4rv-c3wx-4cr8 / GHSA-c5mf-xmp2-59rc / GHSA-fch4-3c6x-j4gc / GHSA-q686-2qmg-hqc7 / GHSA-7vr2-2fgp-9w7p / GHSA-jj7h-c3hg-m23x / GHSA-6v38-4h7w-rj9h
Publicação GHSA: 2026-10-27T16:08:36Z a 2026-10-27T16:08:59Z
rustls: segredos TLS, ECH e processamento de compressão
Diferencie os segredos na saída Debug, o buffer quando ECH é rejeitado, o estado da troca de chaves e a quantidade de memória alocada na descompressão Brotli de certificados. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Atualize para 0.23.46 na linha estável e inspecione os logs Debug que contenham segredos. Para a linha de desenvolvimento 0.24, a versão é dev.2.
Por comunicado: versões afetadas e versões corrigidas (4)
rustls: ECH rejection can expose buffered application data to authenticated outer server before `ech_required` alert
rustls (rust): Versões afetadas >= 0.23.44, < 0.23.46 → Versão corrigida 0.23.46rustls (rust): Versões afetadas >= 0.24.0-dev.1, < 0.24.0-dev.2 → Versão corrigida 0.24.0-dev.2
rustls: An unauthenticated ServerHello poisons the per-name key-exchange record, so later ClientHellos carry only a classical X25519 share
rustls (rust): Versões afetadas < 0.23.46 → Versão corrigida 0.23.46rustls (rust): Versões afetadas >= 0.24.0-dev.1, < 0.24.0-dev.2 → Versão corrigida 0.24.0-dev.2
Rustls: Session Debug formatting exposes TLS master secrets and resumption PSKs
rustls (rust): Versões afetadas < 0.23.46 → Versão corrigida 0.23.46rustls (rust): Versões afetadas >= 0.24.0-dev.1, < 0.24.0-dev.2 → Versão corrigida 0.24.0-dev.2
Rustls: Brotli certificate decompression can allocate an attacker-controlled amount of memory up to 1 GiB before authentication.
rustls (rust): Versões afetadas < 0.23.46 → Versão corrigida 0.23.46rustls (rust): Versões afetadas >= 0.24.0-dev.1, < 0.24.0-dev.2 → Versão corrigida 0.24.0-dev.2
Fontes primárias e referências: GHSA-vp88-798v-h67f / GHSA-w44r-93j7-qv28 / GHSA-c8m5-c952-6cm4 / GHSA-h2v8-394m-p7vv
Publicação GHSA: 2026-10-27T15:38:22Z a 2026-10-27T15:38:39Z
PhpSpreadsheet: XXE, SSRF por imagens externas e consumo de recursos
Inclui contorno do scanner XML, linhas repetidas em ODS e contorno dos destinos permitidos por redirecionamentos de imagens, entre outros problemas. O escopo afetado varia conforme o reader utilizado e a linha. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira as versões corrigidas de cada alerta, como 5.10.0 / 3.10.8 / 2.4.8 / 2.1.19 / 1.30.7. Isole documentos não confiáveis e restrinja as conexões de saída.
Por comunicado: versões afetadas e versões corrigidas (4)
PhpSpreadsheet: SSRF whitelist bypass via unre-validated HTTP redirect in Drawing::setPath external image loading
phpoffice/phpspreadsheet (composer): Versões afetadas >= 4.0.0, <= 5.9.0 → Versão corrigida 5.10.0phpoffice/phpspreadsheet (composer): Versões afetadas >= 3.3.0, <= 3.10.7 → Versão corrigida 3.10.8phpoffice/phpspreadsheet (composer): Versões afetadas >= 2.2.0, <= 2.4.7 → Versão corrigida 2.4.8phpoffice/phpspreadsheet (composer): Versões afetadas >= 2.0.0, <= 2.1.18 → Versão corrigida 2.1.19phpoffice/phpspreadsheet (composer): Versões afetadas <= 1.30.6 → Versão corrigida 1.30.7
PhpSpreadsheet ODS Reader: Unbounded number-rows-repeated → CPU & Memory Exhaustion (DoS)
phpoffice/phpspreadsheet (composer): Versões afetadas >= 4.0.0, <= 5.9.0 → Versão corrigida 5.10.0phpoffice/phpspreadsheet (composer): Versões afetadas >= 3.3.0, <= 3.10.7 → Versão corrigida 3.10.8phpoffice/phpspreadsheet (composer): Versões afetadas >= 2.2.0, <= 2.4.7 → Versão corrigida 2.4.8phpoffice/phpspreadsheet (composer): Versões afetadas >= 2.0.0, <= 2.1.18 → Versão corrigida 2.1.19phpoffice/phpspreadsheet (composer): Versões afetadas <= 1.30.6 → Versão corrigida 1.30.7
PhpSpreadsheet: XmlScanner Bypass via ISO-2022 Escape Sequences Allows XXE and Denial of Service
phpoffice/phpspreadsheet (composer): Versões afetadas >= 4.0.0, <= 5.9.0 → Versão corrigida 5.10.0phpoffice/phpspreadsheet (composer): Versões afetadas >= 3.3.0, <= 3.10.7 → Versão corrigida 3.10.8phpoffice/phpspreadsheet (composer): Versões afetadas >= 2.2.0, <= 2.4.7 → Versão corrigida 2.4.8phpoffice/phpspreadsheet (composer): Versões afetadas >= 2.0.0, <= 2.1.18 → Versão corrigida 2.1.19phpoffice/phpspreadsheet (composer): Versões afetadas <= 1.30.6 → Versão corrigida 1.30.7
PhpSpreadsheet: XmlScanner Bypass via Double-Encoded unentity() TOCTOU Allows XXE and Denial of Service
phpoffice/phpspreadsheet (composer): Versões afetadas >= 4.0.0, <= 5.9.0 → Versão corrigida 5.10.0phpoffice/phpspreadsheet (composer): Versões afetadas >= 3.3.0, <= 3.10.7 → Versão corrigida 3.10.8
Fontes primárias e referências: GHSA-2phh-27fw-q4gc / GHSA-j2w7-387v-m2rq / GHSA-3x94-m842-937c / GHSA-rxj4-h86g-25gc
Publicação GHSA: 2026-10-27T15:38:14Z a 2026-10-27T15:38:14Z
compress: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
compress zstd: Panic on two-block frames
github.com/klauspost/compress/zstd (go): Versões afetadas <= 1.20.1 → Versão corrigida 1.20.2
Fontes primárias e referências: GHSA-fpmh-frq8-7rj8
Publicação GHSA: 2026-10-27T15:37:37Z a 2026-10-27T15:37:37Z
dnspython: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
dnspython dns.name.from_wire_parser() excessive CPU use
dnspython (pip): Versões afetadas < 2.9.0 → Versão corrigida 2.9.0
Fontes primárias e referências: GHSA-45c3-73f7-pv4m
Publicação GHSA: 2026-10-27T15:37:24Z a 2026-10-27T15:37:31Z
dd-trace-py: confira os alertas publicados e o alcance das correções
Foram confirmados 2 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (2)
Datadog dd-trace-py: ReDoS in URL query string obfuscation
ddtrace (pip): Versões afetadas >= 1.5.0, < 3.19.9 → Versão corrigida 3.19.9ddtrace (pip): Versões afetadas >= 4.0.0, < 4.15.6 → Versão corrigida 4.15.6
Datadog dd-trace-py: IAST instrumentation can lead to application DOS
ddtrace (pip): Versões afetadas >= 3.13.0, < 4.15.5 → Versão corrigida 4.15.5
Fontes primárias e referências: GHSA-3633-r77q-h3v3 / GHSA-p3m5-h5v9-vqj6
Publicação GHSA: 2026-10-27T15:36:35Z a 2026-10-27T15:36:35Z
mongo-python-driver: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
MongoDB Python Driver: Out-of-bounds read in BSON decoding via a malformed Regex element
pymongo (pip): Versões afetadas >= 3.9.0, <= 4.18.2 → Versão corrigida 4.18.3
Fontes primárias e referências: GHSA-98qm-wvgf-w4cf
Publicação GHSA: 2026-10-27T14:45:53Z a 2026-10-27T15:36:17Z
vLLM: especificação de model revision e offloading P2P
Diferencie a execução a partir de mm_processor_kwargs.code_revision da requisição do esgotamento de sockets em uma camada secundária P2P específica. As condições não são as mesmas em todas as configurações. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira as condições de funcionalidade de cada alerta. O problema de execução foi corrigido em 0.31.0, e o de P2P em 0.32.0. Restrinja a obtenção de modelos e o acesso à API.
Por comunicado: versões afetadas e versões corrigidas (2)
vLLM: Request-controlled mm_processor_kwargs.code_revision allows remote code execution
vllm (pip): Versões afetadas >= 0.7.3, < 0.31.0 → Versão corrigida 0.31.0
vllm p2p never connected zmq_exhaustion
vllm (pip): Versões afetadas < 0.32.0 → Versão corrigida 0.32.0
Fontes primárias e referências: GHSA-h3rc-6mm3-gc2m / GHSA-frvg-qw88-hww9
Publicação GHSA: 2026-10-27T15:34:28Z a 2026-10-27T15:34:33Z
harness-sdk: confira os alertas publicados e o alcance das correções
Foram confirmados 2 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (2)
Strands Agents: Local Privilege Escalation via Symlink Attack in Default Session File Storage
strands-agents (pip): Versões afetadas < 1.48.0 → Versão corrigida 1.48.0
Strands Agents: Default FileSessionManager storage is world-readable on shared systems
strands-agents (pip): Versões afetadas < 1.48.0 → Versão corrigida 1.48.0
Fontes primárias e referências: GHSA-3w55-933p-8pv5 / GHSA-763v-5pjm-fx36
Publicação GHSA: 2026-10-27T15:33:22Z a 2026-10-27T15:33:42Z
snappy-java: confira os alertas publicados e o alcance das correções
Foram confirmados 3 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (3)
snappy-java: Heap buffer overflow in Snappy.uncompress*Array typed-array methods
org.xerial.snappy:snappy-java (maven): Versões afetadas <= 1.1.10.8 → Versão corrigida 1.1.10.9
snappy-java: JVM crash from unchecked ranges in Snappy.arrayCopy and SnappyOutputStream.rawWrite
org.xerial.snappy:snappy-java (maven): Versões afetadas <= 1.1.10.8 → Versão corrigida 1.1.10.9
snappy-java: Unbounded memory allocation from attacker-declared uncompressed lengtha
org.xerial.snappy:snappy-java (maven): Versões afetadas <= 1.1.10.8 → Versão corrigida 1.1.10.9
Fontes primárias e referências: GHSA-gwq9-9ffj-mvrv / GHSA-xqrx-qh46-34m7 / GHSA-q233-g92q-qxp6
Publicação GHSA: 2026-10-27T15:32:45Z a 2026-10-27T15:32:45Z
flexible-graphrag: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Flexible GraphRAG: Cypher/Graph Injection via broken string-escaping in FalkorDB adapter (_escape()) - full graph wipe from ingested-document content
flexible-graphrag (pip): Versões afetadas >= 0.6.0, < 0.8.2 → Versão corrigida 0.8.2
Fontes primárias e referências: GHSA-vqrg-773h-4wxc
Publicação GHSA: 2026-10-27T15:04:14Z a 2026-10-27T15:32:36Z
LiteLLM: elevação de privilégios, leitura de arquivos e XSS
Os 3 alertas desta edição divulgam vulnerabilidades do produto. Devem ser tratados separadamente do incidente de comprometimento do canal de distribuição. O problema de elevação de internal_user para proxy_admin também depende da configuração experimental nas linhas antigas. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Para a elevação de privilégios, confira as linhas contempladas, como 1.100.4 / 1.101.3 / 1.102.2 / 1.103.1 / 1.104.0rc2. A medida temporária EXPERIMENTAL_UI_LOGIN=false também desativa o SSO pela CLI e outros recursos.
Por comunicado: versões afetadas e versões corrigidas (3)
LiteLLM: internal_user_viewer arbitrary local file read via `vertex_ai_credentials`
litellm (pip): Versões afetadas < 1.95.0 → Versão corrigida 1.95.0
LiteLLM vulnerable to reflected XSS in /sso/debug/callback
litellm (pip): Versões afetadas >= 1.65.5, < 1.85.0 → Versão corrigida 1.85.0
LiteLLM: Privilege Escalation to Proxy Admin via Cross-Domain Reuse of the Salt Key
litellm (pip): Versões afetadas >= 1.91.0, < 1.100.4 → Versão corrigida 1.100.4litellm (pip): Versões afetadas >= 1.101.0, < 1.101.3 → Versão corrigida 1.101.3litellm (pip): Versões afetadas >= 1.102.0, < 1.102.2 → Versão corrigida 1.102.2litellm (pip): Versões afetadas >= 1.103.0, < 1.103.1 → Versão corrigida 1.103.1litellm (pip): Versões afetadas >= 1.104.0rc1, < 1.104.0rc2 → Versão corrigida 1.104.0rc2
Fontes primárias e referências: GHSA-g5ff-637f-6q2m / GHSA-hhww-mrg2-969h / GHSA-7hp6-4w63-5g45
Publicação GHSA: 2026-10-27T14:49:53Z a 2026-10-27T15:32:25Z
Better Auth: state do OAuth e limites entre contas no proxy
Inclui OAuth Proxy, reutilização de state para MagicLink, limitação de taxa do adaptador de banco de dados e informações insuficientes na exibição da aprovação de dispositivos arbitrários. O problema de dispositivos exige condições como ativação opcional da funcionalidade e aprovação do usuário. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira better-auth 1.7.7 e o adaptador utilizado. Na aprovação de dispositivos, exiba o cliente solicitante e as permissões com base nas informações validadas pelo servidor.
Por comunicado: versões afetadas e versões corrigidas (4)
@better-auth/drizzle-adapter: Concurrent requests can exceed rate limits on PostgreSQL
@better-auth/drizzle-adapter (npm): Versões afetadas >= 1.6.17, < 1.7.7 → Versão corrigida 1.7.7@better-auth/kysely-adapter (npm): Versões afetadas >= 1.6.17, < 1.7.0 → Versão corrigida 1.7.0better-auth (npm): Versões afetadas >= 1.6.17, < 1.7.7 → Versão corrigida 1.7.7
better-auth: OAuth Proxy lets an attacker sign in as another user
better-auth (npm): Versões afetadas >= 1.5.0-beta.12, < 1.7.7 → Versão corrigida 1.7.7
better-auth: OAuth state can be used as a Magic Link to sign in as another user
better-auth (npm): Versões afetadas >= 1.4.0-beta.18, < 1.7.7 → Versão corrigida 1.7.7
better-auth: Device login approval does not show the requesting client or permissions
better-auth (npm): Versões afetadas >= 1.3.8-beta.3, < 1.7.0-rc.3 → Versão corrigida 1.7.0-rc.3
Fontes primárias e referências: GHSA-44jh-23m7-hpcf / GHSA-r4xp-prcw-77qf / GHSA-965c-763c-88jm / GHSA-q84f-53jg-9ppm
Publicação GHSA: 2026-10-27T15:26:24Z a 2026-10-27T15:28:03Z
GitPython: limites ao lidar com repositórios, refspecs e submódulos não confiáveis
São 6 alertas sobre leitura de arquivos por nomes de branches, links simbólicos em submódulos, opções inseguras de pull e exposição de variáveis de ambiente, entre outros problemas. As condições variam conforme fatores como as restrições normais de transporte do Git. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Atualize para 3.2.0. Não processe repositórios não confiáveis em ambientes de CI que contenham segredos. Se isso for necessário, isole o processamento e inspecione logs e credenciais que já possam ter sido expostos.
Por comunicado: versões afetadas e versões corrigidas (6)
GitPython: arbitrary file read via attacker-controlled branch name in `Head.checkout()` (incomplete fix of CVE-2026-78679)
GitPython (pip): Versões afetadas <= 3.1.62 → Versão corrigida 3.2.0
GitPython: Submodule.move() follows an attacker-committed intermediate symlink outside the worktree
GitPython (pip): Versões afetadas < 3.2.0 → Versão corrigida 3.2.0
GitPython Remote.pull() refspec bypasses the --upload-pack unsafe-option guard, enabling arbitrary command execution
GitPython (pip): Versões afetadas >= 3.1.30, < 3.2.0 → Versão corrigida 3.2.0
GitPython command wrappers omit unsafe protocol and option checks
GitPython (pip): Versões afetadas <= 3.1.62 → Versão corrigida 3.2.0
GitPython: separate_git_dir leaks env vars via crafted .gitmodules submodule name
GitPython (pip): Versões afetadas <= 3.1.62 → Versão corrigida 3.2.0
GitPython parse_actor_and_date() is vulnerable to quadratic backtracking on malformed identity lines
GitPython (pip): Versões afetadas <= 3.1.62 → Versão corrigida 3.2.0
Fontes primárias e referências: GHSA-23mf-xhv8-69c2 / GHSA-gq48-pqfc-9p58 / GHSA-f9j4-qggq-h239 / GHSA-w8jc-g24h-crhw / GHSA-fx3j-rwgx-fr94 / GHSA-m64x-33q8-m5h7
Publicação GHSA: 2026-10-27T15:04:33Z a 2026-10-27T15:04:39Z
nodemailer: confira os alertas publicados e o alcance das correções
Foram confirmados 3 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (3)
Nodemailer: Quadratic backtracking in SMTP AUTH mechanism detection regexes allows pre-auth remote denial of service
nodemailer (npm): Versões afetadas >= 3.0.0, <= 10.0.12 → Versão corrigida 10.0.13
Nodemailer: RFC 5322 comment inside an angle-bracket address is never stripped
nodemailer (npm): Versões afetadas >= 3.0.0, <= 10.0.12 → Versão corrigida 10.0.13
Nodemailer: Quadratic (O(n^2)) SMTP client reply parsing lets a malicious server or MITM cause a pre-auth remote denial of service
nodemailer (npm): Versões afetadas >= 3.0.0, <= 10.0.9 → Versão corrigida 10.0.10
Fontes primárias e referências: GHSA-4ffr-jq9g-5ffx / GHSA-g73g-hqqh-jr95 / GHSA-4g23-2xm8-66gc
Publicação GHSA: 2026-10-27T15:04:07Z a 2026-10-27T15:04:07Z
msgpack-python: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
MessagePack: Unbounded memory leak in msgpack C extension on strict_map_key validation failure
msgpack (pip): Versões afetadas < 1.2.3 → Versão corrigida 1.2.3
Fontes primárias e referências: GHSA-j586-36cw-2gc2
Publicação GHSA: 2026-10-27T14:50:30Z a 2026-10-27T14:50:30Z
nltk: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
NLTK: WekaClassifier passes an unvalidated caller-controlled model path to the weka JVM, bypassing nltk.pathsec containment
nltk (pip): Versões afetadas <= 3.10.3 → Versão corrigida 3.10.4
Fontes primárias e referências: GHSA-j456-xh4h-cpf2
Publicação GHSA: 2026-10-27T14:46:51Z a 2026-10-27T14:46:51Z
pylint: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Pylint: Arbitrary code execution via pickle deserialization of the stats cache in PYLINT_HOME
pylint (pip): Versões afetadas < 4.0.9 → Versão corrigida 4.0.9
Fontes primárias e referências: GHSA-22qq-2fwx-7p67
Publicação GHSA: 2026-10-27T14:46:43Z a 2026-10-27T14:46:43Z
Satori: falha no escape de caracteres em SVGs gerados
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Satori-generated SVG has improper escaping
satori (npm): Versões afetadas >= 0.0.27, < 0.33.5 → Versão corrigida 0.33.5
Fontes primárias e referências: GHSA-wx4j-mvgx-mqwp
Publicação GHSA: 2026-10-27T14:45:36Z a 2026-10-27T14:45:36Z
rembg: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Rembg: Unauthenticated SAM model injection permits local-file disclosure through malicious ONNX graphs
rembg (pip): Versões afetadas < 2.0.82 → Versão corrigida 2.0.82
Fontes primárias e referências: GHSA-qr6x-7v33-6qmg
Publicação GHSA: 2026-10-27T14:45:29Z a 2026-10-27T14:45:29Z
twisted: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Twisted: DNS Response Spoofing in twisted.names Due to Missing Source Address Validation
Twisted (pip): Versões afetadas <= 26.4.0 → Versão corrigida 26.10.0rc1
Fontes primárias e referências: GHSA-jj36-9pvh-vj5r
Publicação GHSA: 2026-10-27T14:44:19Z a 2026-10-27T14:44:19Z
Ghost: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Ghost: Authorization Bypass in Comment Like Feature
ghost (npm): Versões afetadas >= 5.9.0, < 6.44.1 → Versão corrigida 6.44.1
Fontes primárias e referências: GHSA-qrh6-cwg3-343x
Publicação GHSA: 2026-10-27T14:43:57Z a 2026-10-27T14:43:57Z
siyuan: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
SiYuan: MCP file tool's blocklist is incomplete relative to the HTTP file API it claims to align with, exposing publish-mode passwords and other sensitive workspace files
github.com/siyuan-note/siyuan/kernel (go): Versões afetadas < 0.0.0-20260808051406-3542530c505f → Versão corrigida 0.0.0-20260808051406-3542530c505f
Fontes primárias e referências: GHSA-c8r8-95hg-mp34
Publicação GHSA: 2026-10-27T14:43:16Z a 2026-10-27T14:43:19Z
fpdf2: confira os alertas publicados e o alcance das correções
Foram confirmados 2 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (2)
fpdf2: Exponential SVG '<use>' expansion causes CPU and memory exhaustion in 'FPDF.image()'
fpdf2 (pip): Versões afetadas >= 2.5.0, < 2.8.8 → Versão corrigida 2.8.8
fpdf2 implicitly loads external URLs and local image paths when rendering attacker-controlled content
fpdf2 (pip): Versões afetadas <= 2.8.7 → Versão corrigida 2.8.8
Fontes primárias e referências: GHSA-wqw6-wpr3-45rh / GHSA-rw7v-4hrq-x6r9
Publicação GHSA: 2026-10-27T14:27:53Z a 2026-10-27T14:27:53Z
guava: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Google Guava: CompactHashMap/CompactHashSet/MapMakerInternalMap deserialization triggers uncontrolled memory allocation
com.google.guava:guava (maven): Versões afetadas >= 4.0, <= 33.7.1 → Versão corrigida 33.7.2
Fontes primárias e referências: GHSA-xxph-c9ww-hj94
Publicação GHSA: 2026-10-27T13:30:41Z a 2026-10-27T13:30:41Z
agno: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Agno: Arbitrary code execution via `eval()` on `field_type` in `FunctionCall`
agno (pip): Versões afetadas < 2.3.24 → Versão corrigida 2.3.24
Fontes primárias e referências: GHSA-m4w4-3r8h-jw98
Publicação GHSA: 2026-10-27T13:30:17Z a 2026-10-27T13:30:17Z
oauthlib: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
OAuthLib: Bearer token can be retrieved as long as client knows a valid client ID for device workflow
oauthlib (pip): Versões afetadas >= 3.3.0, < 4.0.0 → Versão corrigida 4.0.0
Fontes primárias e referências: GHSA-3jp2-3mrg-2vxc
Publicação GHSA: 2026-10-27T13:30:10Z a 2026-10-27T13:30:10Z
MONAI: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
MONAILabel Server Crash and Silent Inference Corruption via Crafted DICOM (pydicom DS/IS Validation Bypass)
monai (pip): Versões afetadas < 1.6.1 → Versão corrigida 1.6.1
Fontes primárias e referências: GHSA-6hp3-vr39-rqw8
Publicação GHSA: 2026-10-27T13:29:57Z a 2026-10-27T13:29:57Z
dcmjs: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
dcmjs: DS/IS VALUE REPRESENTATION INPUT VALIDATION BYPASS
dcmjs (npm): Versões afetadas < 0.52.0 → Versão corrigida 0.52.0
Fontes primárias e referências: GHSA-px68-xx5g-48q5
Publicação GHSA: 2026-10-27T13:29:47Z a 2026-10-27T13:29:47Z
wails: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Wails: wildcardPatternToRegex allows Origin bypass via suffix match in BindingsAllowedOrigins
github.com/wailsapp/wails/v2 (go): Versões afetadas >= 2.0.0, < 2.13.0 → Versão corrigida 2.13.0
Fontes primárias e referências: GHSA-47hv-j4px-h3c9
Publicação GHSA: 2026-10-27T13:29:25Z a 2026-10-27T13:29:25Z
dolibarr: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Dolibarr has SQL Injection in societe/class/societe.class.php via localtax1_value parameter
dolibarr/dolibarr (composer): Versões afetadas <= 23.0.0 → Versão corrigida Nenhuma versão corrigida informada
Fontes primárias e referências: GHSA-v5fq-cf5m-vwv7
Publicação GHSA: 2026-10-27T13:27:58Z a 2026-10-27T13:27:58Z
ajenti: confira os alertas publicados e o alcance das correções
Foram confirmados 1 alertas nesta janela de publicação GHSA. Consulte a documentação de cada desenvolvedor para as condições aplicáveis, como funcionalidades, entradas e permissões afetadas. A data de registro não é a data do primeiro lançamento nem o horário de um ataque real. Este material, isoladamente, não permite determinar o número de pessoas ou casos com danos efetivos.
O que verificar: Confira abaixo o escopo afetado e as versões corrigidas de cada alerta. Não considere corrigidas as linhas sem versão corrigida indicada; consulte as orientações de migração e as medidas temporárias do desenvolvedor.
Por comunicado: versões afetadas e versões corrigidas (1)
Ajenti has potential Remote Code Execution
aj (pip): Versões afetadas < 2.2.13 → Versão corrigida 2.2.13
Fontes primárias e referências: GHSA-vcw3-r3fx-j444
10/27 23:30 JST, atualização
ConnectWise: preparação para restauração gradual concluída; validação por terceiros ainda pendente
A atualização do dia 27, às 14:30 UTC, informa que a preparação para a restauração gradual foi concluída e que aguarda a validação obrigatória por terceiros. Não anuncia o início da disponibilização do acesso de restauração nem a recuperação integral. A restauração do Axcient Legacy Portal no dia 22 é outro caso, relacionado a medidas para PHP.
O que verificar: Mantenha as conexões afetadas desativadas e aguarde as orientações individuais de retomada. Não generalize a informação de que não há indícios de comprometimento dos arquivos de backup criptografados como ausência de comprometimento em cada tenant Microsoft 365.
Fontes primárias e referências: ConnectWise公式
10/27 23:45 JST, revisão
Fireblocks mpc-lib: correção ainda indisponível após revisão da avaliação
Revisão do CERT VU701544 no dia 27, às 14:45 UTC. Uma share descendente e o chain code podem permitir chegar à share ancestral ou raiz da mesma parte MPC, mas isso não equivale a obter uma chave completa de transferência que supere o limiar. Não foram divulgados furtos efetivos, valores ou quantidade de clientes afetados.
O que verificar: Trate a correção como indisponível, proteja o chain code como segredo e investigue toda a hierarquia. Não reutilize Agent 2.4.4 / SDK 2.19.1, de um caso separado da eMudhra, como versões corrigidas desta vulnerabilidade.
Fontes primárias e referências: CERT VU701544
10/27, atualização oficial
Fortinet FIPS: divergência entre a versão de correção 7.4 e a indicação 7.2
O artigo técnico do dia 27 informa a disponibilidade das versões com reforço de segurança FIPS. Para 7.4, indica FIPS-CC-74-15 b9481. Para 7.2, o b9883 no texto diverge do b9893 no caminho de download. Informa que a extensão do suporte de 7.0 FIPS terminou e que não há planos para uma versão nesta rodada.
O que verificar: Confira modelo e build no ReadMe oficial e no download de suporte. Não aplique automaticamente com base na numeração ambígua de 7.2. Não reutilize a tabela de reforço de segurança das versões GA como indicação de versões mínimas corrigidas específicas de um PSIRT ainda não obtido.
Fontes primárias e referências: Fortinet技術記事 / 公式hardening案内
Janela de publicação GHSA desta edição / classificação malware
Pacotes maliciosos: confira separadamente 27 alertas GHSA classificados como malware
Inclui trajmetrics 0.5.3, numprint 1.2.0 e @azure-growth/signup-ux-components 1.2.2/1.2.3, entre outros. Os intervalos abaixo seguem a indicação de versões afetadas dos alertas do GitHub. Não conclua que todos os pacotes legítimos com nomes semelhantes foram comprometidos. Não conte 27 alertas como 27 novas organizações vítimas.
O que verificar: Confira o lockfile, a SBOM e o cache de downloads e não execute artefatos suspeitos para verificá-los. Se já houve instalação ou execução, isole e reconstrua o ambiente e revogue as credenciais que poderiam ter sido acessadas. A ausência de versão corrigida indicada não significa que exista uma versão segura nem que apenas aumentar a versão resolva o problema.
Por comunicado: versões afetadas e versões corrigidas (27)
Malicious code in trajmetrics (PyPI)
trajmetrics (pip): Versões afetadas = 0.5.3 → Versão corrigida Nenhuma versão corrigida informada
Malware in glyphmatrix-fixture
glyphmatrix-fixture (npm): Versões afetadas = 1.0.0 → Versão corrigida Nenhuma versão corrigida informadaglyphmatrix-fixture (npm): Versões afetadas = 1.0.1 → Versão corrigida Nenhuma versão corrigida informada
Malware in csec-form-validatorr
csec-form-validatorr (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in ccsseecc-form-validator
ccsseecc-form-validator (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in ccsseecc-crypto-toolkit
ccsseecc-crypto-toolkit (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in ccsec-crypto-toolkit
ccsec-crypto-toolkit (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in ccsec-form-validator
ccsec-form-validator (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in csec-crypto-toolkit
csec-crypto-toolkit (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in csec-form-validator
csec-form-validator (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in agentenact
agentenact (npm): Versões afetadas = 0.2.0 → Versão corrigida Nenhuma versão corrigida informada
Malware in dsh-vm-tester
dsh-vm-tester (npm): Versões afetadas = 0.1.4 → Versão corrigida Nenhuma versão corrigida informadadsh-vm-tester (npm): Versões afetadas = 0.1.2 → Versão corrigida Nenhuma versão corrigida informadadsh-vm-tester (npm): Versões afetadas = 0.1.3 → Versão corrigida Nenhuma versão corrigida informada
Malicious code in numprint (PyPI)
numprint (pip): Versões afetadas = 1.2.0 → Versão corrigida Nenhuma versão corrigida informada
Malware in 6161test1234
6161test1234 (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in adyen-web-v6
adyen-web-v6 (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in buttoncontent
buttoncontent (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in @tableau__catalog-messages/database_lower
@tableau__catalog-messages/database_lower (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in string-target-mapper-hash
string-target-mapper-hash (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in @flexmr/survey-conversation
@flexmr/survey-conversation (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in @flexmr/utils
@flexmr/utils (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in fetch-hash-cache-atomic
fetch-hash-cache-atomic (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in @flexmr/survey-client
@flexmr/survey-client (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in macro-kernel-record-reader
macro-kernel-record-reader (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in paychex-pdftron
paychex-pdftron (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in sc-announcer
sc-announcer (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in ccl-global-shopping
ccl-global-shopping (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malware in sc-hydrate-carousel-price
sc-hydrate-carousel-price (npm): Versões afetadas >= 0 → Versão corrigida Nenhuma versão corrigida informada
Malicious code in @azure-growth/signup-ux-components (npm)
@azure-growth/signup-ux-components (npm): Versões afetadas = 1.2.2 → Versão corrigida Nenhuma versão corrigida informada@azure-growth/signup-ux-components (npm): Versões afetadas = 1.2.3 → Versão corrigida Nenhuma versão corrigida informada
Fontes primárias e referências: GitHub malware勧告 GHSA-rm9p-x4m7-hxmp / GitHub malware勧告 GHSA-vc33-3x34-x6jm / GitHub malware勧告 GHSA-ph3g-jrf5-8792 / GitHub malware勧告 GHSA-h5wr-j55v-8m79 / GitHub malware勧告 GHSA-v9xw-mxj4-fm5q / GitHub malware勧告 GHSA-2732-c6cp-rx5v / GitHub malware勧告 GHSA-r889-j2qv-2jv6 / GitHub malware勧告 GHSA-v383-2358-576w / GitHub malware勧告 GHSA-wh86-6qm8-xgw2 / GitHub malware勧告 GHSA-7p7m-8jmq-qp93 / GitHub malware勧告 GHSA-84fw-gj66-p5v3 / GitHub malware勧告 GHSA-g9fj-q87h-6h4c / GitHub malware勧告 GHSA-r9qx-xcg2-7wcc / GitHub malware勧告 GHSA-r77r-rw3m-rjh5 / GitHub malware勧告 GHSA-6crh-vwr2-4qfp / GitHub malware勧告 GHSA-wmfr-2pvv-wmf3 / GitHub malware勧告 GHSA-wfcx-722r-fg5h / GitHub malware勧告 GHSA-hc8w-gq4q-fr74 / GitHub malware勧告 GHSA-hpc9-fxqh-hhf8 / GitHub malware勧告 GHSA-w9mp-cvjp-jfqp / GitHub malware勧告 GHSA-rh7q-f888-q36c / GitHub malware勧告 GHSA-32g3-f74c-pcxq / GitHub malware勧告 GHSA-9mgv-25w8-jwhf / GitHub malware勧告 GHSA-fxw2-4j5q-6hwg / GitHub malware勧告 GHSA-hh3m-f424-g8v5 / GitHub malware勧告 GHSA-9gcx-88qx-rxch / GitHub malware勧告 GHSA-m8mp-r4jx-43fw