CVE-2026-102576

A flaw was found in Quay. A remote attacker could trick a user into logging in through a crafted link, resulting in cross-site scripting XSS. Because the application does not validate the redirect destination before navigating, this flaw allows the execution of arbitrary script in the context of...

CVE-2026-102295

A flaw was found in Quay. A cross-site scripting XSS vulnerability in the OAuth callback handler allows a remote attacker to execute arbitrary JavaScript code within a user's browser session. By tricking a logged-in user into visiting a specially crafted link, an attacker can exploit improper inp...

CVE-2026-105641 Plane: Hardcoded SECRET_KEY and LIVE_SERVER_SECRET_KEY shipped in aio/cli community deployment manifests — session forgery and live-server auth bypass

Plane is an open-source project management tool. Prior to 1.4.0, the deployments/aio/community/ and deployments/cli/community/ manifests provide fixed, publicly known SECRETKEY and LIVESERVERSECRETKEY defaults that remain active when operators do not override them. The top-level setup.sh randomiz...

CVE-2026-105641

The open-source project management tool Plane contains hardcoded credentials in its community deployment manifests prior to version 1.4.0 . Specifically, the deployments/aio/community/ and deployments/cli/community/ manifests provide fixed, publicly known defaults for SECRET_KEY and LIVE_SERVER_S...

CVE-2026-105641 Plane: Hardcoded SECRET_KEY and LIVE_SERVER_SECRET_KEY shipped in aio/cli community deployment manifests — session forgery and live-server auth bypass

Plane is an open-source project management tool. Prior to 1.4.0, the deployments/aio/community/ and deployments/cli/community/ manifests provide fixed, publicly known SECRETKEY and LIVESERVERSECRETKEY defaults that remain active when operators do not override them. The top-level setup.sh randomiz...

CVE-2026-105641 Plane: Hardcoded SECRET_KEY and LIVE_SERVER_SECRET_KEY shipped in aio/cli community deployment manifests — session forgery and live-server auth bypass

Plane is an open-source project management tool. Prior to 1.4.0, the deployments/aio/community/ and deployments/cli/community/ manifests provide fixed, publicly known SECRETKEY and LIVESERVERSECRETKEY defaults that remain active when operators do not override them. The top-level setup.sh randomiz...

EUVD-2026-92543

Plane is an open-source project management tool. Prior to 1.4.0, an authenticated low-privilege workspace member, including a Guest, can upload an image/svg+xml file as a generic or issue attachment. The file retains the attacker-controlled Content-Type, and the asset-download endpoint creates a...

CVE-2023-4966-POC

CVE-2023-4966-POC NetScaler CVE-2023-4966 취약점에 대한 개념 증명 설명 이 Python 스크립트는 CVE-2023-4966을 악용합니다. 이는 Citrix ADC 인스턴스의 치명적인 취약점으로, 인증되지 않은 공격자가 세션 토큰을 유출할 수 있게 합니다. 이 취약점은 CVSS 점수 9.4를 부여받았으며, 사용자 상호작용 없이 원격으로 악용할 수 있습니다. GatewayVPN 가상 서버, ICA Proxy, CVPN, RDP Proxy 또는 AAA 가상 서버로 구성된 Citrix NetScale...

EUVD-2026-92519

A flaw was found in Quay. A remote attacker could trick a user into logging in through a crafted link, resulting in cross-site scripting XSS. Because the application does not validate the redirect destination before navigating, this flaw allows the execution of arbitrary script in the context of...

CVE-2026-102295 Quay: quay: dom-based cross-site scripting via oauth local callback format=json parameter

A flaw was found in Quay. A cross-site scripting XSS vulnerability in the OAuth callback handler allows a remote attacker to execute arbitrary JavaScript code within a user's browser session. By tricking a logged-in user into visiting a specially crafted link, an attacker can exploit improper inp...

EUVD-2026-92518

A flaw was found in Quay. A cross-site scripting XSS vulnerability in the OAuth callback handler allows a remote attacker to execute arbitrary JavaScript code within a user's browser session. By tricking a logged-in user into visiting a specially crafted link, an attacker can exploit improper inp...

CVE-2026-102295

A flaw was found in Quay. A cross-site scripting XSS vulnerability in the OAuth callback handler allows a remote attacker to execute arbitrary JavaScript code within a user's browser session. By tricking a logged-in user into visiting a specially crafted link, an attacker can exploit improper inp...

CVE-2026-41940_exploit

CVE-2026-41940 - cPanel & WHM 認証バイパスエクスプロイト 脆弱性: cpsrvd の HTTP Basic 認証ハンドラにおける CRLF インジェクションを 利用したセッションファイルの操作 CVE: CVE-2026-41940 CVSS: 9.8（緊急） CWE: CWE-93（CRLF インジェクション）/ CWE-306（認証の欠如） 影響を受けるバージョン: cPanel & WHM の以下のバージョンより前: 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20,...

CVE-2026-36669-FengOffice

보안 권고: CVE-2026-36669 Feng Office Community Edition에서의 인증되지 않은 임의 파일 업로드 ckuploadhandler.php에 Feng Office Community Edition 버전 3.11.13.11의 인증되지 않은 임의 파일 업로드 취약점이 존재합니다. 이 결함으로 인해 원격의 인증되지 않은 공격자가 웹 접근 가능 디렉터리에 임의의 파일악성 .html 또는 .php 스크립트 포함을 업로드할 수 있습니다. 관리자 쿠키 보호HttpOnly 부재와 결합하면, 이 취약점은 저장형 사이트...

soplanning-1.52-exploits

Exploit Title: SOPlanning v1.52.00 'groupesave.php' XSS Reflected XSS Application: SOPlanning Version: 1.52.00 Date: 4/22/24 Exploit Author: Joseph McPeters Liquidsky Vendor Homepage: https://www.soplanning.org/en/ Software Link: https://sourceforge.net/projects/soplanning/ Tested on: Linux CVE:...

CVE-2024-57427

CVE-2024-57427 - 반사형 크로스 사이트 스크립팅 XSS PHPJabbers Cinema Booking System v2.0은 반사형 크로스 사이트 스크립팅XSS에 취약합니다. 여러 엔드포인트가 사용자 입력을 부적절하게 처리하여 악성 스크립트가 피해자의 브라우저에서 실행될 수 있습니다. 공격자는 악성 링크를 만들어 세션 쿠키를 탈취하거나 피싱 공격을 수행할 수 있습니다. 취약한 매개변수: 영향을 받는 POST 요청 함수 OPTIONS BOOKING FORM: value-enum-ocurrency...

CVE-2024-22853

CVE-2024-22853 D-LINK Go-RT-AC750 GORTAC750A1FWv101b03에는 Alphanetworks 계정에 대한 하드코딩된 비밀번호가 있어, 원격 공격자가 텔넷 세션을 통해 루트 액세스 권한을 얻을 수 있습니다. PoC https://www.dlink.com/se/sv/products/go-rt-ac750-wireless-ac750-dual-band-easy-router?revision=deurevadownloads binwalk GORTAC750A1FWv101b03.bin -e cat...

CVE-2017-14263

HoneywellNVRvul CVE-2017-14263 xfuturesec Co., Ltd 첫째, 게스트 사용자의 SessionID를 획득합니다. 모든 HTTP 요청에서 SessionID를 찾을 수 있습니다. 예를 들어: POST https://192.168.1.104/RPC2 HTTP/1.1 Accept: text/javascript, text/html, application/xml, text/xml X-Requested-With: XMLHttpRequest X-Request: JSON Content-Type:...

CVE-2023-0264

CVE-2023-0264에 대한 PoC 권한 부여 코드 흐름 중 세션 하이재킹을 허용하는 Keycloak 취약점 https://github.com/advisories/GHSA-9g98-5mj6-f9mv 참조 전제 조건 Docker curl jq python3 또는 HTTP로 정적 파일을 제공하는 다른 도구 재현 단계 1. ./run-keycloak-container.sh로 Keycloak 컨테이너를 시작합니다. 2. ./create-users.sh로 사용자 alice와 mallory 두 명을 생성합니다. 3. 이 저장소의 정적...

cyber-decoy

cyber-decoy 컨테이너화된 네트워크 디코이허니팟로, SSH , RDP 및 SMB 를 광고하고, eBPF 로 모든 인바운드 연결을 관찰하며, 각 세션을 격리된 디코이 컨테이너로 리버스 프록시합니다. 설계는 두 가지 관심사를 분리합니다: 1. 관찰. 브로커의 인터페이스에 연결된 eBPF TC 분류기가 모든 인바운드 TCP SYN을 기록합니다. 여기에는 디코이가 제공하지 않는 포트에 대한 스캔도 포함됩니다. 이는 프로빙 활동에 대한 완전한 가시성을 제공합니다. 2. 상호 작용. 브로커의 사용자 공간 리버스 프록시는 광고된...