nord-stream

Nord Stream Nord Stream は、 悪意のある パイプラインをデプロイすることで CI/CD 環境内に保存されたシークレットを抽出できるツールです。 現在、Azure DevOps、GitHub、GitLab をサポートしています。 詳細は以下のブログ記事をご覧ください: https://www.synacktiv.com/publications/cicd-secrets-extraction-tips-and-tricks 目次 Nord Stream 目次 インストール 使用方法 共通引数 トークンの説明 YAML のビルド YAML ログの削除 コミットへの署名...

Dependency Scanning

依存関係とライセンススキャンのためのコンポーネント このコンポーネントは、GitLabがプロジェクトの依存関係とそのライセンスを特定するために使用するCycloneDXソフトウェア部品表（Software Bill of Materials）を生成します。このCycloneDXソフトウェア部品表はGitLabの分類法と互換性があります。さらに、このコンポーネントは、プロジェクトの依存関係で検出された脆弱性から依存関係スキャンレポートを生成することもできます。 必要条件 このCI/CDコンポーネントには、GitLabの依存関係スキャン機能、GitLab Ultimate機能が必要です。...

tun2socks

特徴 ユニバーサルプロキシ : 任意のアプリケーションからのすべてのネットワークトラフィックを透過的にプロキシ経由でルーティングします。 マルチプロトコル : HTTP/SOCKS/Shadowsocks/SSH/Relay プロキシをオプションの認証付きでサポートします。 クロスプラットフォーム : Linux/macOS/Windows/FreeBSD/OpenBSD 上で動作し、プラットフォーム固有の最適化を備えています。 ゲートウェイモード : レイヤー3ゲートウェイとして機能し、同じネットワーク上の他のデバイスからのトラフィックをルーティングします。 完全なIPv6互換性 :...

muad-dib

安装 | 用法 | 功能 | VS Code | CI/CD Version francaise 为什么选择 MUAD'DIB？ npm 和 PyPI 供应链攻击正在爆发式增长。Shai-Hulud 在 2025 年入侵了 25K+ 个仓库。现有工具能够检测威胁，但无法帮助你进行响应。 MUAD'DIB 结合了 22 个并行扫描器（278 条检测规则）、反混淆引擎 、模块间数据流分析 、复合评分 （21 条复合规则）以及 gVisor/Docker 沙箱，用于检测 npm 和 PyPI 包中的已知威胁和可疑行为模式。代码库中存在一个 XGBoost 分类器，但当前处于非激活状态...

SecuSphere

SecuSphere あなたの総合DevSecOpsソリューション SecuSphereへようこそ。これはあらゆるDevSecOpsニーズに対応するオールインワンソリューションです。私たちの集中型プラットフォームは、脆弱性管理、CI/CDパイプライン統合、セキュリティ評価、DevSecOpsプラクティスを最適化・管理するために専門的に設計されています。...

juice-shop

OWASP Juice Shop...

CVE-2026-1337-AI-Coding-Assistant-Prompt-Injection-to-Sandbox-Escape

CVE-2026-1337 – AIコーディングアシスタントのプロンプトインジェクションによるRCE 📖 概要 AIを搭載したコードレビューボットのプロンプトインジェクション脆弱性により、攻撃者はボットの「修正」提案を操作して任意のシェルコマンドを注入できます。このサニタイザーは単純なブラックリストを使用していますが、エンコード手法によってバイパスされます。 ⚙️ 脆弱性の詳細 タイプ: プロンプトインジェクション → コマンドインジェクション 影響: CI/CDランナー上でのリモートコード実行（RCE） 根本原因:...

dnsx-action

dnsx Action を使用すると、dnsx を GitHub Action で簡単にオーケストレーションできます。 使用例 ホストのリストに対してdnsx を実行する GitHub Action root@kitploit: - name: 💥 dnsx - DNS Resolver uses: projectdiscovery/dnsx-action@main with: list: hosts.txt カスタムリゾルバを使用してdnsx を実行する GitHub Action root@kitploit: - name: 💥 dnsx - DNS Resolver uses:...

Aurea

Aurea仕様書 IaCセキュリティの黄金基準 HTMLミラー: https://roxanneardary.com/aurea-specification/ 仕様概要 Aureaは、完全オープンソースのAI駆動型Infrastructure-as-Codeセキュリティ仕様であり、ソフトウェア開発およびインフラストラクチャ展開ライフサイクル全体を通じて継続的なセキュリティ分析を提供するように設計されています。...

cicd-sensor

🚧 プレリリース版: 開発進行中。 cicd-sensor は現在プレリリース版であり、活発に開発が進められています。フィードバックを歓迎します。 cicd-sensor CI/CDパイプライン向けのEDRと考えてください。 GitHub Actions と GitLab CI/CD 向けのオープンソース eBPF ベースのランタイムセキュリティセンサー。 → 完全なドキュメント デモ --- 例: GitHub Actions ワークフローに追加された cicd-sensor。生成されたレポートは GitHub のジョブサマリーで確認できます。 cicd-sensor が行うこと...

DevSecOpsGuideline

OWASP DevSecOps 指南 OWASP DevSecOps 指南介绍了如何实现安全流水线、运用最佳实践，并引入可在此方面使用的工具。此外，该项目还致力于帮助我们在开发流程中推广“左移安全”文化。 本项目适用于任何拥有开发流水线（换言之，即 DevOps 流水线）的各种规模的公司。 我们力求在此项目中勾勒出安全 DevOps 流水线的整体视图，然后根据我们定制化的需求加以改进。 理想目标是“尽早发现安全问题（无论是设计缺陷还是应用漏洞）。” 初始步骤 DevSecOps 的核心就是将安全融入 DevOps。但要跟上 CI/CD 的节奏，安全必须尽早注入软件编写与测试环节。 OWA...

zizmor

🌈 zizmor zizmor は CI/CD システム向けの静的解析ツールです。 GitHub Actions、Dependabot、pre-commit など、一般的な CI/CD 環境のセキュリティ問題を検出・修正できます。zizmor が検出する問題の例: 攻撃者が制御するコード実行につながるテンプレートインジェクションの脆弱性 意図しない認証情報の永続化と漏えい...

sslyze

SSLyze SSLyzeは、高速で強力なSSL/TLSスキャンツールおよびPythonライブラリです。 SSLyzeは、サーバーに接続してSSL/TLS構成を分析し、強力な暗号化設定（証明書、暗号スイート、楕円曲線など）が使用されていること、および既知のTLS攻撃（Heartbleed、ROBOT、OpenSSL CCSインジェクションなど）に対して脆弱でないことを確認できます。 主な機能 速度と信頼性に焦点：SSLyzeは実戦でテストされたツールであり、毎日数十万 のサーバーを確実にスキャンするために使用されています。...

nuclei-action

このNuclei Actionを使うと、NucleiをGitHub Actionで簡単に連携できます。 すべてのNuclei Templatesを強力な継続的セキュリティワークフローに統合し、セキュアなソフトウェア開発ライフサイクルの一部にしましょう。 Nuclei Action 互換性 v3.0.0+ は Node.js v24 で動作し、CLIファーストのインターフェースを採用しています。version、install-only、args などの入力を受け付け、出力は stdout と stderr のみに出力します。...

ci-supplychain-guard

CI Supply Chain Guard CI/CDパイプラインに悪意のある依存関係がマージされる前に検出する静的解析ツールです。 作者: Otsmane Ahmed ステータス: 研究プロトタイプ v1.0 クイックスタート root@kitploit: 1. Clone and install git clone https://github.com/Otsmane-Ahmed/ci-supplychain-guard.git cd ci-supplychain-guard python3 -m venv venv source venv/bin/activate On...

cli

Snyk CLI を始めよう Snyk CLI の概要 Snyk は、開発者ファーストのクラウドネイティブなセキュリティツールで、ソフトウェア開発プロジェクトをスキャンし、セキュリティ脆弱性を監視します。Snyk は、以下の複数のコンテンツタイプに対してセキュリティ問題をスキャンします。 Snyk Open Source: オープンソースの脆弱性を検出し、自動的に修正します Snyk Code: アプリケーションコードの脆弱性をリアルタイムで検出・修正します Snyk Container: コンテナイメージや Kubernetes アプリケーションの脆弱性を検出・修正します Snyk...

Web-Cache-Vulnerability-Scanner

Web Cache Vulnerability Scanner WCVS は、Hackmanit と Maximilian Hildebrand によって開発された、ウェブキャッシュポイズニング およびウェブキャッシュディセプションのための高速で多機能なCLIスキャナーです。 このスキャナーは、多様なウェブキャッシュポイズニングおよびウェブキャッシュディセプション技術をサポートし、テスト対象のURLを特定するクローラーを内蔵し、特定のウェブキャッシュに適応してより効率的なテストを行うことができます。高度にカスタマイズ可能で、既存のCI/CDパイプラインに簡単に統合できます。 特徴 インス...

Bug-Bounty-Arsenal-v.3

BugBounty Arsenal バグバウンティハンターやセキュリティ研究者のための、無料のフルスタックセキュリティスキャンプラットフォーム — 50以上の検出器、継続的モニタリング、単一のダッシュボードからのCI/CDゲーティングを備えています。 ▶ ライブアプリ:bugbounty-arsenal.net — 無料、クレジットカード不要。 これが役に立つと思われたら、ぜひリポジトリに ⭐ をお願いします — 本当に助かります。 他とは何が違うのか ほとんどのスキャナーは一度実行したらそれきりです。BugBounty Arsenal はターゲットを監視し続け、変更があったものだけ...

salus

Salus: コードの安全性とセキュリティの守護神 🔍 概要 Salus（セキュリティ自動化軽量ユニバーサルスキャナー）は、その名をローマの保護の女神に由来し、セキュリティスキャナーを調整して実行するためのツールです。リポジトリに対してDockerデーモンを介してSalusを実行すると、関連するスキャナーを自動的に判別し、実行して出力を提供します。ほとんどのスキャナーは、コンテナに直接含まれている他の成熟したオープンソースプロジェクトです。...

api-security-audit-action

GitHub Action：42Crunch REST API 静态安全测试 REST API 静态安全测试操作会在仓库中查找遵循 OpenAPI 规范（OAS，原名 Swagger）的 REST API 契约，并对其运行全面的安全检查。支持 OAS v2 和 v3.0.x，同时支持 JSON 和 YAML 格式。 你可以在以下场景中使用此操作： 在 CI/CD 工作流中添加自动化的静态 API 安全测试（SAST）任务。 在拉取请求审查和/或代码合并时执行这些检查。 将发现的问题标记到 GitHub 的安全/代码扫描警报中。 该操作由 42Crunch API Security Aud...