svn-extractor

Svn-Extractor Webアプリケーションのペネトレーションテスターは、.svnフォルダーの存在にしばしば遭遇します。ご存じない方のために説明すると、.svnフォルダーはSVNバージョン管理システムがその操作を実行するために使用するフォルダーです。ブラックボックスペンテストでは、このフォルダーには膨大な量の情報が含まれています。 これが役立つ主な分野には、次のようなものがあります。 1. 隠しファイルやフォルダー名を明らかにする 2. ファイルのソースコードにアクセスする 3. htaccess で制限が設定されている場合でもファイルをダウンロードする...

CVE-2026-61782

The @rsdoctor/rspack-plugin (prior to version 1.5.16 ) contains an unauthenticated HTTP API that exposes sensitive build information. The default Rsdoctor report server binds to all network interfaces (0.0.0.0 ) and provides a POST /api/data/key endpoint with no authentication and wildcard CORS. ...

CVE-2026-61782 @rsdoctor/rspack-plugin has Unauthenticated HTTP API that Exposes Project Source Code and Build Metadata

Rsdoctor is a build analyzer tailored for projects built with Rspack. Prior to version 1.5.16, the default Rsdoctor report HTTP server started by @rsdoctor/rspack-plugin binds to all network interfaces 0.0.0.0 and serves a POST /api/data/key endpoint with no authentication and wildcard CORS...

CVE-2025-55183

CVE-2025-55183 React Server Functions のソースコード露出脆弱性のスキャナーです。 これは何ですか？ CVE-2025-55183: React 19.0.0-19.2.1 の Server Actions が悪用されると、ハードコードされたシークレット、API キー、データベース認証情報を含む完全なソースコードが露出する可能性があります。 参考: https://github.com/facebook/react/commit/894bc73cb493487c48d57f4508e6278db58e673a...

CVE-2026-32662

CVE-2026-32662: 本番環境におけるアクティブデバッグコード 勧告 項目| 値 ---|--- CVE| CVE-2026-32662 ICSA| ICSA-26-055-03 Update A CVSS 3.1| 5.3（中） ベクター| CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CWE| CWE-489（アクティブデバッグコード） 研究者| Michael Groberman — Gr0m 公開日| 2026-04-02（Update A） 製品 項目| 値 ---|--- ベンダー| Gardyn 製品| Gardyn...

nextjs-security-update

nextjs-security-update 新たなNext.jsの脆弱性を悪用するOSSツールを開発する人々がいます。これは対抗するためのツールです。すべてのNext.jsアプリを、すべてのGitHubアカウントにわたって極めて簡単にアップグレードできます。 内部では公式Vercel修正ツールを使用しています。 何が起きたか 2025年12月11日：Next.jsは、App Routerを使用するReact Server Componentsに影響する複数の重大な脆弱性を開示しました。 CVE-2025-66478 RCE CVE-2025-55183 Source Code...

react-server-cve-lab

React Server Components セキュリティラボ CVE-2025-55183 & CVE-2025-55184 CVE-2025-55183 （ソースコード露呈）および CVE-2025-55184 （サービス拒否）の脆弱性を React Server Components 上でテストするための包括的なセキュリティテスト環境です。 ⚠️ 免責事項 教育およびセキュリティ研究目的のみに使用してください このリポジトリには、意図的に脆弱なアプリケーションと悪用ツールが含まれています。自分が所有しているシステム、または明示的な書面による許可を得たシステムでのみテストしてください...

CVE-2024-38475

CVE-2024-38475 利用CVE-2024-38475（modrewrite漏洞与文件系统路径匹配） 此仓库包含一个用于测试Web服务器漏洞的Python脚本，专门针对Apache服务器。该脚本使用目录和文件的词表检查潜在问题（modrewrite漏洞与文件系统路径匹配），并通过各种载荷暴露源码。 使用方法： 使用以下命令运行脚本： root@kitploit: python3 script.py --webroots webroots.txt --url 127.0.0.1 --schema http --directorywordlist...

CVE-2026-19439 Ultimate Gift Cards for WooCommerce 3.0.3 - 3.2.9 - Unauthenticated Gift Card Code and Customer PII Disclosure via wps_uwgc_report_details

The Ultimate Gift Cards for WooCommerce WordPress plugin before 3.2.10 does not have any authorisation check when displaying gift card details, allowing unauthenticated users to retrieve the gift cards attached to arbitrary orders and disclose customer personal data, balances, dates and, in 3.2.9...

CVE-2026-84149

This vulnerability exists in the ERP system due to exposure of repository information through a publicly accessible .git directory. An unauthenticated remote attacker could exploit this vulnerability by accessing the exposed .git directory and retrieving repository metadata and associated files,...

CVE-2026-84149 Information Disclosure Vulnerability in Manacle Technologies ERP System

This vulnerability exists in the ERP system due to exposure of repository information through a publicly accessible .git directory. An unauthenticated remote attacker could exploit this vulnerability by accessing the exposed .git directory and retrieving repository metadata and associated files,...

EUVD-2026-69059

This vulnerability exists in the ERP system due to exposure of repository information through a publicly accessible .git directory. An unauthenticated remote attacker could exploit this vulnerability by accessing the exposed .git directory and retrieving repository metadata and associated files,...

PT-2026-84201

This vulnerability exists in the ERP system due to exposure of repository information through a publicly accessible .git directory. An unauthenticated remote attacker could exploit this vulnerability by accessing the exposed .git directory and retrieving repository metadata and associated files,...

postcss: PostCSS: Information disclosure via crafted sourceMappingURL

A flaw was found in PostCSS. A remote attacker can exploit this vulnerability by providing a specially crafted sourceMappingURL when a specific configuration the 'from' parameter is not set. This can cause the application to read and expose unintended source-map files, potentially revealing...

CVE-2026-13460

IBM Storage Scale 5.2.3.0 through 5.2.3.8, and 6.0.0.0 through 6.0.1.0 GUI contains a hardcoded token in the source code, which was used for inter-node cluster communication and REST API authentication between GUI...

CVE-2026-13460

CVE-2026-13460 affects IBM Storage Scale GUI, with versions 5.2.3.0–5.2.3.8 and 6.0.0.0–6.0.1.0 containing a hardcoded token in the GUI source used for inter-node cluster communication and REST API authentication. The security bulletin indicates fixes in 5.2.3.9 or later and 6.0.1.1 or later. Rem...

CVE-2026-16581

In igloohome Smart Lock Mobile App versions 3.2.3 and prior, an Inclusion of Sensitive Information in Source Code vulnerability could allow an unauthorized actor to access functions or backend services that were not sufficiently protected by authentication controls...

CVE-2026-16581

In igloohome Smart Lock Mobile App versions 3.2.3 and earlier, the CVE-2026-16581 describes an Inclusion of Sensitive Information in Source Code that could allow an unauthorized actor to access functions or backend services not sufficiently protected by authentication controls. The affected softw...

CVE-2026-16581

In igloohome Smart Lock Mobile App versions 3.2.3 and prior, an Inclusion of Sensitive Information in Source Code vulnerability could allow an unauthorized actor to access functions or backend services that were not sufficiently protected by authentication controls...

CVE-2026-13597

The 微信二维码登陆 WordPress plugin through 1.3 does not properly validate WeChat webhook requests, as its signature check always passes, and it discloses the generated login code in the webhook response. This allows an unauthenticated attacker to forge a login event for any existing username, read the...