CVE-2026-105684

Penpot is an open-source design and prototyping platform. Prior to 2.18.0, the get-comment-threads, get-comment-thread, and get-comments RPC commands use check-comment-permissions! but do not apply the share link's pages restriction. A holder of a page-scoped share link can retrieve comment threa...

EUVD-2026-92776

Penpot is an open-source design and prototyping platform. Prior to 2.18.0, the get-comment-threads, get-comment-thread, and get-comments RPC commands use check-comment-permissions! but do not apply the share link's pages restriction. A holder of a page-scoped share link can retrieve comment threa...

CVE-2026-105684 Penpot: Share-link page-scope escape — comment RPCs leak comment content, author identity, and all page-ids for pages outside the share scope

Penpot is an open-source design and prototyping platform. Prior to 2.18.0, the get-comment-threads, get-comment-thread, and get-comments RPC commands use check-comment-permissions! but do not apply the share link's pages restriction. A holder of a page-scoped share link can retrieve comment threa...

CVE-2026-105681

The Ghost Node.js content management system is affected by an authorization bypass vulnerability in its comments feature. An input validation issue allows authenticated members to access comments for which they lack proper authorization. This vulnerability affects versions 5.9.0 through 6.44.1 . ...

vbsmin

VBSmin VBScript minifier Features ⬜️ Remove extra whitespace Trailing whitespace Leading whitespace Blank lines Inline extra spaces 💬 Remove comments Single quote start of the line Single quote inline REM 1️⃣ One-line Line splitting underscore Colon Quick start Quick install $ gem install vbsmin...

CVE-2021-42697

Akka HTTP 10.1.x10.1.15 미만 및 10.2.x10.2.7 미만는 HTTP 헤더를 파싱하는 동안 스택 고갈stack exhaustion이 발생할 수 있으며, 이로 인해 원격 공격자가 깊이 중첩된 주석이 포함된 User-Agent 헤더를 전송하여 서비스 거부DoS 공격을 수행할 수 있습니다. 참고 자료 MITRE Akka 블로그 주석의 임의 중첩 기본 Akka 설정 가이드 PoC 참고 사항 테스트 대상 버전: 10.2.4 대상 서버 핑거프린트: akka-http/ 페이로드 스니펫: User-Agent:...

CVE-2021-44217

CVE-2021-44217 제안된 설명 Ericsson CodeChecker 6.18.0 이하 버전에서, reports viewer의 comments 구성 요소에 있는 저장형 교차 사이트 스크립팅XSS 취약점으로 인해 원격 공격자가 /CodeCheckerService API의 POST JSON 데이터를 통해 임의의 웹 스크립트 또는 HTML을 주입할 수 있습니다. 추가 정보 CodeChecker 웹 서버는 서로 다른 권한을 가진 사용자를 격리하는 권한 시스템을 갖추고 있습니다. 또한 각 사용자의 쿠키를...

wordlist_generator

wordlistgenerator wordlistgenerator 도구는 tomnomnom의 비디오 "Who, What, Where, When"에 언급된 기술을 사용하여 대상에 맞는 고유한 워드리스트를 생성합니다. gau에서 URL을 가져와 페이지의 디렉터리, 파일 이름 또는 단어를 추출합니다. 추가 기능으로 HTML 주석을 추출할 수 있습니다. 기본적으로 도구는 2000개의 URL만 요청하고 모든 단어와 디렉터리를 추출합니다. 워드리스트를 정리하기 위해 wordlistgenerator는 "denylists" 디렉터리 파일의 모...

CVE-2024-3640_WafBypass

CVE-2024-3640 WafBypass woodpacker 플러그인 활용 우회 방식은 사실상 XML 주석 문자를 삽입하여 키워드를 우회하는 것입니다. 지연 탐지 명령 실행 결과 출력 사용자 정의 메모리 웹셸...

ccs

코드 자격 증명 스캐너 이 스크립트는 대규모의 다양한 코드베이스에 대해 하드 코딩된 자격 증명 또는 구성 파일에 존재하는 자격 증명을 스캔하기 위한 것입니다. 이러한 자격 증명은 심각한 보안 문제를 나타내며, 탐지하고 관리하기가 매우 어려울 수 있습니다. 이 스크립트의 구체적인 초점은 CI/CD 파이프라인에서 개발 팀이 직접 사용할 수 있는 도구를 만들어, 코드에 자격 증명이 존재할 때 팀에 경고함으로써 이 문제에 대한 수정 프로세스를 관리하고, 팀이 문제가 발생하면 즉시 해결할 수 있도록 하는 것입니다. 이 도구를 특정 시점...

drinkme

drinkme drinkme is a shellcode test harness. It reads shellcode from stdin and executes it. This allows pentesters to quickly test their payloads before deployment. Formats drinkme can handle shellcode in the following formats: "0x" "\x" "x" "" For example, NOP could be represented as any of...

POC-CVE-2023-3244

CVE-2023-3244에 대한 개념 증명 안녕하세요, 이것은 WordPress 플러그인 "comments-like-dislike"에서 발견된 CVE-2023-3244 취약점에 대한 간단한 개념 증명PoC입니다. 이 취약점은 플러그인 버전 1.2.0 이하에 영향을 미칩니다. 이 취약점을 악용하려면 제공된 Python 스크립트를 참조할 수 있습니다. 단, 이 문제는 플러그인 버전 1.2.1에서 해결 및 수정되었음을 유의하시기 바랍니다. 추가 자료 및 링크 이 취약점에 대한 추가 정보 및 외부 자료는 National...

hardcodes

hardcodes extract strings from source code hardcodes is a utility for searching strings hardcoded by developers in programs. It uses a modular tokenizer that can handle comments, any number of backslashes & nearly any syntax you throw at it. Yes, it is designed to process any syntax and following...

YT-Spammer-Purge

YouTube Spammer Purge 이게 뭔가요? - 자신의 채널과 다른 사람의 채널에서 스패머 댓글을 다양한 방법으로 필터링 및 검색하고, 한 번에 삭제/신고할 수 있습니다 아래 기능 참조. 다운로드 방법: 오른쪽의 "Releases" 링크를 클릭한 후, 최신 릴리스에서 'Assets' 아래에 있는 "YTSpammerPurge.exe"를 클릭하여 다운로드하세요. 릴리스 파일을 보려면 "Assets"를 클릭해야 할 수도 있습니다 Linux 설정 안내 MacOS 설정 안내 exe 파일을 사용하는 경우 Windows 설치가...

CVE-2023-47437

CVE-2023-47437 Pachno 저장형 크로스 사이트 스크립팅 취약점 https://vulners.com/cve/CVE-2023-47437 설명: Pachno에서 인증된 공격자가 저장형 크로스 사이트 스크립팅XSS 공격을 실행할 수 있는 취약점이 발견되었습니다. 취약한 폼: 댓글 영향 받는 버전: Pachno 1.0.6...

WordPress Core <6.5.2 - Cross-Site Scripting

WordPress Core is vulnerable to Stored Cross-Site Scripting via user display names in the Avatar block in various versions up to 6.5.2 due to insufficient output escaping on the display name. id: CVE-2024-4439 info: name: WordPress Core 6.5.2 - Cross-Site Scripting author: nqdung2002 severity: hi...

Show all comments < 7.0.1 - Cross-Site Scripting

The Show All Comments WordPress plugin before 7.0.1 does not sanitise and escape a parameter before outputting it back in the page, leading to a Reflected Cross-Site Scripting which could be used against a logged in high privilege users such as admin. id: CVE-2022-4295 info: name: Show all commen...

CVE-2026-92084

The The Beaver Builder Page Builder – Drag and Drop Website Builder plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 2.11.0.5. This is due to the software allowing users to execute an action that does not properly validate a value before...

EUVD-2026-91966

The The Beaver Builder Page Builder – Drag and Drop Website Builder plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 2.11.0.5. This is due to the software allowing users to execute an action that does not properly validate a value before...

CVE-2026-104991

Phproject versions prior to 1.8.7 are affected by a missing object-level authorization vulnerability within the REST API issue endpoints, specifically single_get, single_comments, and single_comments_post. The root cause is the failure to invoke the allowAccess() authorization routine, allowing a...