Segurança para quem conecta dados, documentos e agentes à IA.
Publicações 706
Cyber ·
Aviso do CPAN Security Group: uma única solicitação que declara um Content-Length elevado derruba o servidor HTTP::Server::PSGI, parte da distribuição Plack, nas versões anteriores à 1.0056.
Cyber ·
Em 25 de outubro de 2026, uma discussão na lista oss-sec tratou de um patch retroportado para a vulnerabilidade de falta de memória (OOM) conhecida como PHP2Shell, nas linhas PHP 5.4 a 5.6.
Cyber ·
Falha de solidez no sistema de módulos do Rocq/Coq permite que Print Assumptions declare fechada uma prova de False, sem axiomas ou sinalizadores inseguros visíveis. O título do aviso indica que não há correção desde 2020.
Cyber ·
Aviso de segurança sobre falha de solidez no kernel do assistente de provas Rocq: após fechar um módulo, o estado da verificação de universos não é restaurado, o que permite provar 0 = 1 sem axiomas aparentes.
Cyber ·
Falha de solidez no verificador de guardas do kernel Rocq permite construir prova verificada de False, e de qualquer proposição, sem axiomas, táticas, plugins ou sinalizadores inseguros. A divulgação foi publicada na lista oss-sec em 25 de outubro de 2026.
Cyber ·
Aviso de segurança sobre o verificador de guardas do kernel Rocq: após uma reescrita de parâmetro de tipo indutivo, a árvore recursiva não é verificada novamente, e uma prova de False pode ser aceita como válida.
Cyber ·
Aviso de segurança sobre o verificador de guardas do kernel Rocq, que aceita um ponto fixo não terminante por chamadas cruzadas não verificadas e permite provar False sem axiomas declarados.
Cyber ·
Aviso do feed oss-sec descreve falha no kernel do Lean 4 que permite construir uma prova verificada de False, incluindo 0 = 1, sem axiomas declarados nem arquivos modificados.
Cyber ·
Um alerta da lista oss-sec, publicado em 24 de outubro de 2026, informa o lançamento do Brotli 1.2.1 com a correção da CVE-2026-111497 e lista outros softwares que já incorporaram a correção.
Cyber ·
Aviso de segurança de 24 de outubro de 2026 informa que o módulo ssl do Python ganhou uma lista de bloqueio para certificados intermediários conhecidos como comprometidos, para proteger os usuários. O trecho recebido está truncado e traduzido automaticamente.
Cyber ·
Versões do Web::Simple anteriores à 0.035 alocam um buffer com base no cabeçalho Content-Length para parâmetros de corpo codificados como URL. O aviso foi publicado em 24 de outubro de 2026 no feed oss-sec, pelo Grupo de Segurança do CPAN, com identificador CVE-2026-114629.
Cyber ·
Mensagem publicada na lista oss-sec em 24/10/2026 critica a vinculação estática de dependências e cita a opção --shared-brotli do Node.js para distribuições que a usem.
Cyber ·
Mensagem de 24 de outubro no feed oss-sec esclarece que a remoção da confiança TLS de uma raiz não impediu necessariamente seu uso para S/MIME. O texto trata de intermediárias ligadas à eMudhra e corrige detalhes sobre a validade da raiz.
Cyber ·
Aviso no oss-sec descreve falhas de memória na biblioteca jxrlib, abandonada upstream, acionadas por arquivo JPEG XR danificado de algumas centenas de bytes, com escrita além do buffer na heap. As correções estão no fork 1.4.4, lançado em 9 de outubro de 2026.
Cyber ·
Relato sobre poluição de protótipo no Tampermonkey, um gerenciador de userscripts, por meio da tag de antifeature com internacionalização. Segundo o texto, a falha pode substituir código de scripts, mas exige interação do usuário ou circunstâncias pouco práticas.
Cyber ·
Alerta do grupo de segurança do CPAN sobre gravação fora dos limites na biblioteca Brotli incluída no IO::Compress::Brotli. Versões a partir de 0.004001 e anteriores à 0.023 são afetadas.
Cyber ·
Aviso de segurança sobre leitura fora dos limites do heap na busca de mensagens do OptimizedTranslation no Godot 4.x, com correção já integrada ao upstream em 20 de outubro de 2026.
Cyber ·
Aviso do oss-sec sobre gravação fora dos limites do heap no carregador de recursos binários do Godot 4.x, causada por comprimento de string inválido. Correção integrada ao upstream em 20 de outubro de 2026.
Cyber ·
Aviso do oss-sec sobre a correção, já integrada ao master do Godot, para gravação fora dos limites do heap ao carregar imagens HDR Radiance corrompidas, com referência ao CVE-2026-110734.
Cyber ·
Aviso publicado em 23 de outubro de 2026 no feed oss-sec pelo Grupo de Segurança do CPAN. Versões do HTTP::Headers::ActionPack para Perl anteriores à 0.10 processam faixas Accept-Language como expressões regulares, o que permite esgotamento de CPU.
