Boletim diário · 5 de julho de 2026
Falha crítica no cve-search expõe hashes de senhas administrativas; múltiplos PoCs públicos elevam risco do dia
O boletim de 5 de julho de 2026 registrou 84 novas vulnerabilidades, com destaque absoluto para uma falha crítica no cve-search que permite a qualquer atacante não autenticado ler coleções MongoDB arbitrárias — incluindo credenciais administrativas. Embora nenhuma entrada esteja em exploração ativa confirmada (KEV), ao menos seis das dez vulnerabilidades em destaque já possuem PoC pública, o que reduz consideravelmente o tempo até exploração em massa.
Resumo do dia
- CVE-2026-59509 é a ameaça mais urgente do dia: falha crítica no cve-search permite exfiltração de hashes de senha sem autenticação, com PoC disponível.
- Seis das dez vulnerabilidades destacadas já têm exploit público — o intervalo entre divulgação e ataque tende a ser curtíssimo nesses casos.
- Múltiplos componentes do ecossistema Pardus (Linux turco) concentram três falhas de alta severidade envolvendo escalada de privilégios e exposição de credenciais.
- Dispositivos de rede físicos (UTT HiPER 1250GW, Ruijie RG-UAC) aparecem com falhas remotamente exploráveis e PoC publicado, exigindo atenção imediata de equipes de infraestrutura.
1
críticas
0
Em exploração ativa
0
Antes do CISA
0
Arma pronta
Destaques críticos
1
Atacante não autenticado pode manipular parâmetros do endpoint POST /fetch_cve_data para acessar qualquer coleção MongoDB da aplicação, incluindo a coleção mgmt_users com nomes de usuário e hashes de senha de administradores — comprometimento total da instância cve-search.
2
Atribuição incorreta de permissões no Pardus-Parental-Control permite controle de acesso inadequado, abrindo caminho para ataques de DNS Spoofing que podem redirecionar o tráfego de usuários finais silenciosamente.
3
Stack-based buffer overflow remoto no endpoint web do UTT HiPER 1250GW via parâmetro ssid; com PoC público disponível, o risco de execução de código no equipamento de borda é concreto e imediato.
4
O Pardus Domain Joiner expõe informações sensíveis visíveis durante invocação de processos, permitindo que usuários locais com acesso ao ambiente extraiam credenciais de domínio — crítico em ambientes corporativos Linux.
5
Falta de controle de autorização no Pardus Update permite escalada de privilégios; um usuário de baixo privilégio pode explorar a falha para obter controle elevado sobre o sistema operacional.
6
Path traversal no AIL Framework durante o manuseio de objetos PDF permite que um usuário autenticado acesse arquivos fora do diretório permitido, potencialmente expondo dados sensíveis armazenados no servidor.
7
Ausência de autenticação na função verify_server do chatgpt-on-wechat CowAgent expõe o endpoint wx a manipulações remotas sem credenciais; PoC público aumenta o risco de abuso imediato em instâncias expostas.
8
Upload irrestrito de arquivos no Ruijie RG-UAC via parâmetro upload_image do arquivo user_auth_commit.php pode ser explorado remotamente para plantar arquivos maliciosos no appliance de controle de acesso de rede.
9
Injeção SQL remota no Smart Parking System 1.0 via parâmetros street, city e status permite extração arbitrária de dados do banco — exploit público disponível torna o risco operacional imediato.
10
Injeção SQL no Class and Exam Timetabling System 1.0 via parâmetro ID no endpoint /edit_product.php permite manipulação remota do banco de dados, com exploit já divulgado publicamente.
Recomendação do dia: Priorize imediatamente a atualização ou isolamento de instâncias cve-search expostas e de dispositivos UTT HiPER 1250GW e Ruijie RG-UAC acessíveis pela rede; para o ecossistema Pardus, aplique os patches disponíveis nas versões corrigidas indicadas nos CVEs e restrinja o acesso local a processos privilegiados.
Dado o volume de PoCs públicos lançados nesta data, é o momento ideal para validar quais desses ativos existem na sua superfície de ataque antes que agentes maliciosos o façam primeiro.Descubra em minutos, com uma avaliação gratuita de exposição, onde sua organização está realmente vulnerável.Conheça o Agente de Pentest Autônomo com IA →Boletins anteriores
5 de novembro de 2026 — BTCPay Server vaza credenciais de nós LND e Apache Juneau acumula falhas críticas4 de novembro de 2026 — Sogou em alerta antecipado e roteadores com CVSS 10 sem correção lideram o dia3 de novembro de 2026 — Ivanti Connect Secure em exploração ativa e plugin WordPress crítico já visto em ataques2 de novembro de 2026 — Plugin s2Member para WordPress sob exploração antes do CISA lidera dia de falhas críticas em roteadores, CMS e acesso seguro1 de novembro de 2026 — Dia calmo em exploração, mas onda de falhas críticas em roteadores WAVLINK e Linksys pede atenção31 de outubro de 2026 — WordPress sob fogo: quatro falhas já exploradas antes do alerta do CISA lideram o dia30 de outubro de 2026 — Cinco falhas com exploração vista antes do CISA lideram dia de atenção29 de outubro de 2026 — Dia de monitoramento: sem exploração ativa, mas WS_FTP, Langflow e plugins WordPress concentram falhas críticas28 de outubro de 2026 — VPN da Cisco e plugins WordPress sob exploração antecipada, com falhas críticas em Data Domain e AVideo27 de outubro de 2026 — Adobe Campaign Classic concentra falhas críticas, e Electrum e Kerio Connect já mostram sinais de exploração26 de outubro de 2026 — Dia calmo em exploração, mas 28 críticas e falhas de CVSS 10 em roteador, biblioteca Rust e infraestrutura pedem atenção25 de outubro de 2026 — Dia calmo em exploração, mas falhas de autenticação e SQLi sem login pedem atenção24 de outubro de 2026 — Dia calmo no KEV, mas falhas críticas de deserialização e injeção em plugins WordPress dominam a lista23 de outubro de 2026 — Dia calmo em exploração, mas falhas críticas em Wasmtime, Postiz e LMS pedem atençãover arquivo completo →