PT-2026-103121

Name of the Vulnerable Software and Affected Versions Claude Code versions 2.0.68 through 2.1.259 Description Claude Code prioritized a locally stored API key, such as one from a previous /login or configuration file, over a valid Claude Enterprise or Team sign-in when retrieving server-managed...

CVE-LiteLLM

cve-id ⚡ 간단한 사용법 이 프로젝트는 다음과 같은 안전하고 승인된 환경에서만 사용하십시오: 로컬 가상 머신 Docker 컨테이너 격리된 실험실 환경 승인된 침투 테스트 환경 설정 예시: git clone cd Project use python follow below Create a virtual environment python -m venv venv Activate the virtual environment macOS / Linux source venv/bin/activate Windows Git Bash / WSL...

CVE-2025-11203-PoC

CVE-2025-11203 — LiteLLM Health Endpoint APIKEY Information Disclosure LiteLLM 버전 1.63.14의 /health 엔드포인트가 apikey 매개변수를 처리할 때, 민감 정보를 올바르게 필터링하지 않아 인증된 사용자가 다른 모델 설정에 저장된 API Key를 획득할 수 있습니다. cleanendpointdata 함수를 통해 제거되어야 할 apikey 필드가 특정 코드 경로에서 유출됩니다. Field| Value ---|--- CVE| CVE-2025-11203 ZDI...

CVE-2025-59528

Version française CVE-2025-59528 概念実証（PoC） 認可された環境における脆弱性の技術的検証に焦点を当てた最小限のPoCです。 前提条件 対象のFlowiseダッシュボードにユーザーアカウントを持っている必要があります。 そのアカウントにリンクされた有効なAPIキーを持っている必要があります。 PoCを実行する前に、コールバックホストでリスナーを起動しておく必要があります（例：nc -lvn 4444）。 使用例 まずリスナーを起動します： nc -lvn 4444 python3 poc.py --domain example.com --host...

Log4Shell-PoC-Application

☕ Log4Shell PoC 애플리케이션 Spring 프레임워크 기반 웹 애플리케이션으로, log4shell 취약점에 대한 개념 증명용입니다. 설치 및 실행 !Important 이 프로젝트를 실행하려면 JDK 1.8개발 환경에서는 8u131이 필요합니다. 제공된 Dockerfile을 사용하여 PoC 애플리케이션의 Docker 이미지를 빌드하고 실행하세요. docker build --tag log4shell-poc-application . docker run -d -p 8080:8000 --name...

Pribado

🔐 Pribado 비공개 API 키 관리 및 제로-지식 인프라 Pribado는 API 키, 암호화된 비밀 및 비공개 통신을 관리하기 위한 자체 호스팅 가능한 제로-지식 플랫폼입니다. Oasis Sapphire 기반의 하드웨어 지원 기밀 컴퓨팅을 통해 구축되었습니다. ✨ 기능 🔑 비공개 API 프록시 API 키OpenAI, Anthropic, Google 등를 암호화하여 저장 실제 키 대신 사용할 프록시 키privxxx 생성 웹훅 알림을 통한 자동 키 순환 제로-지식: 서버는 해독할 수 없는 암호화된 블롭만 저장 🗄️ 암호화된 볼...

FOSKiller

███████╗ ██████╗ ███████╗██╗ ██╗██╗██╗ ██╗ ███████╗██████╗ ██╔════╝██╔═══██╗██╔════╝██║ ██╔╝██║██║ ██║ ██╔════╝██╔══██╗ █████╗ ██║ ██║███████╗█████╔╝ ██║██║ ██║ █████╗ ██████╔╝ ██╔══╝ ██║ ██║╚════██║██╔═██╗ ██║██║ ██║ ██╔══╝ ██╔══██╗ ██║ ╚██████╔╝███████║██║ ██╗██║███████╗███████╗███████╗██║ ██║...

CVE-2022-41544

CVE-2022-41544 익스플로잇 스크립트 이 저장소는 GetSimple CMS의 CVE-2022-41544 취약점을 익스플로잇하는 스크립트를 포함합니다. 스크립트는 취약점 확인, API 키 유출, 쿠키 설정, CSRF 토큰 획득, 셸 업로드 및 셸 트리거 등의 여러 단계를 수행합니다. 변경 사항 및 개선 사항 1. 비권장 경고 처리 : 더 이상 사용되지 않는 telnetlib 임포트를 제거했습니다. 스크립트 기능에 필요하지 않았기 때문입니다. 2. 향상된 오류 처리 : HTTP 요청 및 XML 파싱에 대한 더 강력한 오류...

CVE-2026-71204-PoC

CVE-2026-71204 — changedetection.io: /settings 保存時のチェックボックス省略により API キー強制が静かに無効化される 製品: dgtlmoon/changedetection.io — v0.55.7 ファイル: changedetectionio/blueprint/settings/init.py, changedetectionio/forms.py CWE: CWE-284 — 不適切なアクセス制御 CVSS 3.1: AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:L — 6.3 中 CNA: Turan...

secret-regex-list

シークレット正規表現リスト シークレットAPIキーやお宝情報をスクレイピングするための正規表現のリストです。これを直接コピーしてPythonコードに貼り付けることができます。一部の正規表現では三重引用符が必要になる場合があり、そうしないとコードが壊れる可能性があります。 "Cloudinary" : "cloudinary://.", "Firebase URL": ".firebaseio.com", "Slack Token": "xoxp|b|o|a-0-912-0-912-0-912-a-z0-932", "RSA private key": "-----BEGIN RSA...

-CVE-2025-59528-PoC

CVE-2025-59528-PoC 教育目的専用 CVE-2025-59528を悪用するシンプルなPythonスクリプトです。これは、人気のあるAIツールであるFlowiseアプリケーションにおける認証済みRCE（リモートコード実行）の脆弱性です。また、HTBのシーズナルチャレンジの一部でもあり、そこでテストしました。動作しない場合は、実行しているコマンドが正しいことを確認してください（ヒント: busybox）。 この問題はバージョン -k yourapikey...

pigeon

Pigeon あなたのエージェントがサブエージェントを生成し、同じAPIキーを渡しました。そのサブエージェントは、本番環境へのデプロイ、支払いデータベースの読み取り、mainへのマージができるようになりました。 Pigeonはそれを阻止します。子エージェントにはPigeon Pass を渡します。これは、あなたができることのコピーではなく、実行が許可された内容に絞り込まれた署名付き認証情報です。 インストール Python 3.12以降。 git clone https://github.com/pigeonlabsHQ/pigeon.git cd pigeon pip install...

apkprobe

APKprobe APKデコンパイラ＆シークレットスキャナ — Androidセキュリティ調査向け。AndroidアプリケーションからAPIキー 、エンドポイント 、トークン 、その他の漏洩した認証情報 を自動的に抽出します。 .apk、.xapk、.dex、.jar、.class、.smali、.zip、.aar、.arsc、.aab ファイルに対応。 apk2url 抽出、apk leaks 検出、Androidリバースエンジニアリング に最適。セキュリティ研究者、ペネトレーションテスター、バグバウンティハンターに利用されています。 目次 なぜAPKprobeなのか？ 特徴 インスト...

CVE-2025-44823

Nagios Log Server 2024R1.3.1 における認証済みAPIキーの露出 ▶️ PoCデモ CVE ID: CVE-2025-44823 日付: 2025-04-02 著者: Alex Tisdale, Seth Kraft ベンダーホームページ: https://www.nagios.com/ ベンダーチェンジログ: https://www.nagios.com/changelog/log-server ソフトウェアリンク: https://assets.nagios.com/downloads/nagios-log-server/versions.php バージョン:...

CVE-2026-100628

capgo.app before 12.128.12 fails to enforce an organization's API key expiration policy when creating app-scoped API keys. In the POST /apikey endpoint, requests that supply appid but omit orgid, limitedtoorgs, and expiresat resolve the target app and scope the key to it, but never add the app's...

CVE-2026-100625

Capgo capgo.app exposes a native build TUS upload proxy supabase/functions/backend/public/build/upload.ts that authorizes a caller against a single build job identified by the supplied builderjobid and validates only that job's stored uploadpath, but then forwards the user-controlled TUS resource...

CVE-2026-100609

Flowise npm packages flowise and flowise-components through 3.1.4 looks up credentials by ID without filtering on the requesting user's workspace findOneBy id: credentialId with no workspaceId condition in several code paths: getAllOpenaiAssistants/getSingleOpenaiAssistant GET...

CVE-2026-100628

Versions of capgo.app prior to 12.128.12 are vulnerable to a security flaw where the system fails to enforce organization API key expiration policies for app-scoped keys. Specifically, the POST /apikey endpoint does not include the owner organization in the validation list when app_id is provided...

EUVD-2026-87722

capgo.app before 12.128.12 fails to enforce an organization's API key expiration policy when creating app-scoped API keys. In the POST /apikey endpoint, requests that supply appid but omit orgid, limitedtoorgs, and expiresat resolve the target app and scope the key to it, but never add the app's...

CVE-2026-100628 capgo.app before 12.128.12 Authentication Bypass via apikey

capgo.app before 12.128.12 fails to enforce an organization's API key expiration policy when creating app-scoped API keys. In the POST /apikey endpoint, requests that supply appid but omit orgid, limitedtoorgs, and expiresat resolve the target app and scope the key to it, but never add the app's...