virustotalx

virustotalx 用于端点 virustotalx 用于 IP（V2） 安装 root@kitploit: git clone https://github.com/orwagodfather/virustotalx.git root@kitploit: cd virustotalx 创建 3 个账户 https://www.virustotal.com/gui/join-us 并复制 3 个 API 密钥 === root@kitploit: nano orwa.sh & root@kitploit: nano orwaV2.sh 在此处粘贴 3 个 API 密钥...

CVE-2022-41544

CVE-2022-41544 エクスプロイトスクリプト このリポジトリには、GetSimple CMS の CVE-2022-41544 脆弱性を悪用するスクリプトが含まれています。このスクリプトは、脆弱性の確認、API キーの漏洩、Cookie の設定、CSRF トークンの取得、シェルのアップロード、シェルの起動など、複数のステップを実行します。 変更点と改善点 1. 非推奨警告への対応 : スクリプトの機能に不要だった非推奨の telnetlib インポートを削除しました。 2. エラーハンドリングの強化 : HTTP リクエストと XML...

CVE-2026-91935

Flowise before 3.1.4 fails to validate baseURL parameters in chat-model nodes, allowing authenticated users to redirect requests to arbitrary hosts. Attackers with chatflows:create or chatflows:update permissions can exfiltrate LLM provider API keys by redirecting requests to cloud metadata...

EUVD-2026-78793

Flowise before 3.1.4 fails to validate baseURL parameters in chat-model nodes, allowing authenticated users to redirect requests to arbitrary hosts. Attackers with chatflows:create or chatflows:update permissions can exfiltrate LLM provider API keys by redirecting requests to cloud metadata...

CVE-2026-91935 Flowise before 3.1.4 SSRF and API Key Exfiltration via Chat Model Nodes

Flowise before 3.1.4 fails to validate baseURL parameters in chat-model nodes, allowing authenticated users to redirect requests to arbitrary hosts. Attackers with chatflows:create or chatflows:update permissions can exfiltrate LLM provider API keys by redirecting requests to cloud metadata...

CVE-2026-54254

Cyberdrop-DL is a bulk asynchronous downloader for multiple file hosts. From 8.5.0 until 9.14.0, the Pixeldrain crawler uses substring host matching instead of requiring the input host to be an exact member of SUPPORTEDDOMAINS, and then reuses that input host for API requests. When a Pixeldrain A...

CVE-2026-54254 Cyberdrop-DL: Pixeldrain API key shared with unverified thirdparty sites

Cyberdrop-DL is a bulk asynchronous downloader for multiple file hosts. From 8.5.0 until 9.14.0, the Pixeldrain crawler uses substring host matching instead of requiring the input host to be an exact member of SUPPORTEDDOMAINS, and then reuses that input host for API requests. When a Pixeldrain A...

CVE-LiteLLM

cve-id ⚡ 简单使用 请仅在安全且授权的环境中使用此项目，例如： 本地虚拟机 Docker 容器 隔离的实验室环境 经过授权的渗透测试环境 示例设置： root@kitploit: git clone cd 项目使用 Python，请按以下步骤操作 创建虚拟环境 python -m venv venv 激活虚拟环境 macOS / Linux source venv/bin/activate Windows Git Bash / WSL source venv/Scripts/activate 安装依赖 pip install -r requirements.txt 示例用法：...

CVE-2025-11203-PoC

CVE-2025-11203 — LiteLLM Health Endpoint APIKEY Information Disclosure LiteLLM バージョン 1.63.14 の /health エンドポイントは apikey パラメータを処理する際に、 機密情報を適切にフィルタリングしていない ため、認証済みユーザーが他のモデル設定に保存された API Key を取得できてしまいます。 cleanendpointdata 関数で削除されるべき apikey フィールドが、一部のコードパスで漏洩します。...

CVE-2025-59528

Version française CVE-2025-59528 概念验证 专注于在授权环境中对该漏洞进行技术验证的最小化 PoC。 前提条件 您必须在目标 Flowise 仪表板上拥有一个用户账户。 您必须拥有与该账户关联的有效 API 密钥。 您必须在运行 PoC 之前于回调主机上启动监听器（示例：nc -lvn 4444）。 使用示例 首先启动监听器： root@kitploit: nc -lvn 4444 root@kitploit: python3 poc.py --domain example.com --host 10.10.10.1 --port 4444 --api...

CVE-2026-57127 praisonai: recipe serve auth middleware silently disables itself when no secret is set

PraisonAI is a multi-agent teams system. Prior to 4.6.58, recipe serve installs APIKeyAuthMiddleware or JWTAuthMiddleware when an operator selects api-key or JWT authentication, but each middleware forwards requests when PRAISONAIAPIKEY or PRAISONAIJWTSECRET and the corresponding recipe value are...

CVE-2026-57127

PraisonAI (multi-agent LLM framework on PyPI) prior to 4.6.58 contains a fail-open authentication bypass in praisonai/recipe/serve.py. When an operator sets auth: api-key or auth: jwt in the recipe YAML but fails to provide the corresponding secret (via YAML field or PRAISONAI_API_KEY / PRAISONAI...

FOSKiller

root@kitploit: ███████╗ ██████╗ ███████╗██╗ ██╗██╗██╗ ██╗ ███████╗██████╗ ██╔════╝██╔═══██╗██╔════╝██║ ██╔╝██║██║ ██║ ██╔════╝██╔══██╗ █████╗ ██║ ██║███████╗█████╔╝ ██║██║ ██║ █████╗ ██████╔╝ ██╔══╝ ██║ ██║╚════██║██╔═██╗ ██║██║ ██║ ██╔══╝ ██╔══██╗ ██║ ╚██████╔╝███████║██║...

CVE-2026-71204-PoC

CVE-2026-71204 — changedetection.io：/settings 中省略复选框会静默禁用 API 密钥强制 产品： dgtlmoon/changedetection.io — v0.55.7 文件： changedetectionio/blueprint/settings/init.py、changedetectionio/forms.py CWE： CWE-284 — 访问控制不当 CVSS 3.1： AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:L — 6.3（中危） CNA： Turan Security · CVE 记录 描述...

secret-regex-list

Lista de expresiones regulares para secretos Lista de regex para extraer claves de API secretas e información jugosa. Puedes copiarla directamente y ponerla en tu código de Python; algunas regex pueden requerir tres comillas o se romperá el código. root@kitploit: "Cloudinary" : "cloudinary://.",...

EyesOfNetwork - Hardcoded API Key & SQL Injection

An issue was discovered in EyesOfNetwork 5.3. The EyesOfNetwork API 2.4.2 is prone to SQL injection, allowing an unauthenticated attacker to perform various tasks such as authentication bypass via the username field to getApiKey in include/apifunctions.php. id: CVE-2020-8656 info: name:...

-CVE-2025-59528-PoC

CVE-2025-59528-PoC 仅供教育目的使用 这是一个用于利用 CVE-2025-59528 的简单 Python 脚本，该漏洞是 Flowise 应用（一款流行的 AI 工具）中的已认证 RCE 漏洞，同时也是 HTB 季节性挑战的一部分（我就是在该挑战中测试它的）。如果脚本不生效，请确保你运行的命令是正确的（提示：busybox）。 该问题存在于版本 -k yourapikey...

pigeon

Pigeon 你的智能体生成了一个子智能体，并把同一个 API 密钥交给了它。这个子智能体现在可以部署到生产环境、读取支付数据库，并合并到主分支。 Pigeon 阻止了这一切。你交给子智能体的是一个 Pigeon Pass ：一份收窄的、经过签名的凭证，明确它被允许做什么，而不是你全部权限的副本。 安装 需要 Python 3.12 或更高版本。 root@kitploit: git clone https://github.com/pigeonlabsHQ/pigeon.git cd pigeon pip install . 核心理念，20 行代码 root@kitploit: fro...

apkprobe

APKprobe APK 反编译器和密钥扫描器 ，用于 Android 安全研究。自动从 Android 应用中提取 API 密钥 、端点 、令牌 及其他 泄露的凭据 。 支持 .apk、.xapk、.dex、.jar、.class、.smali、.zip、.aar、.arsc、.aab 文件。 非常适合 apk2url 提取、apk 泄露 检测以及 Android 逆向工程 。被安全研究人员、渗透测试人员和漏洞赏金猎人广泛使用。 目录 为什么选择 APKprobe？ 功能特性 安装 快速开始 使用示例 支持的编译器 自定义规则 性能 替代工具 贡献 常见问题 许可证 为什么选择...

CVE-2025-44823

Nagios Log Server 2024R1.3.1 における認証済みAPIキーの露出 ▶️ PoCデモ CVE ID: CVE-2025-44823 日付: 2025-04-02 著者: Alex Tisdale, Seth Kraft ベンダーホームページ: https://www.nagios.com/ ベンダーチェンジログ: https://www.nagios.com/changelog/log-server ソフトウェアリンク: https://assets.nagios.com/downloads/nagios-log-server/versions.php バージョン:...