envsec

envsec ネイティブOSの資格情報ストアを使用した安全な環境シークレット管理。 デモ 機能 シークレットをOSネイティブの資格情報ストアに保存（プレーンテキストファイルではない） クロスプラットフォーム：macOS、Linux、Windows コンテキストごとにシークレットを整理（例：myapp.dev、stripe-api.prod、work.staging） SQLiteによるシークレットメタデータ（キー名、タイムスタンプ）の追跡 globパターンによるコンテキストとシークレットの検索 シークレット補間を使用したコマンド実行...

pub

❤ ヒーローになって、🍺 をおごって 🙂 ⟶ Ƀ : 1AZMeGVfCBbYwVYyG9s79pJDyocTZgiApa | Ξth : 0x438B38E30eF117C15fBfF833f9C2c70182925815 tintinweb が開示した脆弱性に対するエクスプロイト PoCs とツール。 パブ police line - do not cross ==== police line - do not cross ==== police line - do not cross ==== ==== police line - do not cross ==== police...

scallion

2020 Project Update Scallion was a hobby project to learn OpenCL and RSA. We are not currently maintaining scallion. It has bitrotted in two important ways: 1. Tor has moved on to v3 Onion addresses, which scallion does not support. Old v2 addresses will stop working in October of 2021. The new...

git-remote-gcrypt

git-remote-gcrypt GNU Privacy Guardで暗号化されたgitリモート :Manual section: 1 説明 git-remote-gcryptは、GnuPGで暗号化されたリポジトリをカスタム形式でプッシュおよびプルするためのgitリモートヘルパーです。このリモートヘルパーは、gcrypt:: で始まるURIを処理します。 サポートされているバックエンドは local、rsync://、sftp:// で、リポジトリはファイルセットとして保存されます。または、任意の...

git-crypt

git-crypt - gitにおける透過的なファイル暗号化...

gpg_reaper

GPG Reaper TL;DR: Obtain/Steal/Restore GPG Private Keys from gpg-agent cache/memory This POC demonstrates method for obtaining GPG private keys from gpg-agent memory under Windows. Normally this should be possible only within 10 minutes time frame --default-cache-ttl value. Unfortunately...

gpg_reaper

GPG Reaper TL;DR: gpg-agentのキャッシュ/メモリからGPG秘密鍵を取得/盗取/復元する このPOCは、Windows上の gpg-agent メモリからGPG秘密鍵を取得する方法を示しています。 通常、これは 10分 の時間枠（--default-cache-ttl 値）内でのみ可能であるはずです。 残念ながら housekeeping 関数（キャッシュのクリーンアップを担当）は、GPGを使用している場合にのみ実行されます（タイマーはありません）。 つまり、通常のGPG使用例（ファイルに署名し、GUIを閉じて別のタスクを行うなど）では、パスワードは依然として...

codecrypt

Codecrypt ポスト量子暗号ツール。 Codecrypt は現在メンテナンスされていませんが、私は今も問題なく使用しています。開発やメンテナンスに興味があれば、私に連絡してください。 概要 これは GnuPG ライクな Unix プログラムで、暗号化と署名に量子コンピュータ耐性のあるアルゴリズムのみを使用します: McEliece 暗号システム コンパクトな QC-MDPC 変種 を暗号化に使用 ハッシュベースの Merkle ツリーアルゴリズム FMTSeq 変種 をデジタル署名に使用 Codecrypt はフリーソフトウェアです。コードは LGPL3...

CVE-2025-49113

CVE-2025-49113 Roundcube エクスプロイト CVE-2025-49113 用の Python エクスプロイトです。PHP オブジェクトのデシリアライゼーションを通じてリモートコード実行を可能にする、Roundcube webmail の脆弱性を対象としています。 概要 このエクスプロイトは、Roundcube のファイルアップロード機能におけるデシリアライゼーションの脆弱性を利用します。細工された GPG 設定ペイロードを使用して、ターゲットサーバー上でのリモートコード実行を実現します。 機能 Roundcube への自動認証 CSRF トークンの抽出と処理...

terrapod-PoC

Terrapod：安全公告 CVE 状态： 已申请，等待分配。此发现已发布为 GHSA-6qrc-597p-mrp9。CVE 分配后，此仓库将重命名为 CVE-YYYY-NNNNN-terrapod-PoC，并且此横幅将替换为 CVE 链接。 | ---|--- 研究员| Dostxodjayev Abdullox @squeeze440 公告| GHSA-6qrc-597p-mrp9 CVSS 3.1| 6.5（中危） 弱点| CWE-862, CWE-284 摘要 Terrapod（main @ b36d953，post-v1.3.1）中 GPG 密钥管理 API...

Rocky Linux 8 [CIQ] Security Update: osbuild / osbuild-composer / osbuild-composer-core / etc (crlsa-2024_2961)

The Rocky Linux 8 host has packages installed that are affected by a vulnerability as referenced in the CIQ crlsa-20242961 advisory. osbuild-composer: race condition may disable GPG verification for package repositories CVE-2024-2307 Tenable has extracted the preceding description block directly...

Rocky Linux 9 [CIQ] Security Update: gnupg2 / gnupg2-debuginfo / gnupg2-debugsource / gnupg2-smime / etc (crlsa-2022_6602)

The Rocky Linux 9 host has packages installed that are affected by a vulnerability as referenced in the CIQ crlsa-20226602 advisory. gpg: Signature spoofing via status line injection CVE-2022-34903 Tenable has extracted the preceding description block directly from the CIQ security advisory. Note...

CVE-2026-56727

The open-source helpdesk system Zammad is vulnerable to PGP signature spoofing prior to version 7.0.2 . The root cause is that the system silently discards the return value of the gpg verification call during inbound PGP email processing. Consequently, the handler unconditionally writes a success...

SUSE SLED15: libzypp / libzypp-devel / zypper / zypper-log / etc (SUSE-SU-2026:4129-1)

The remote SUSE Linux SLED15 / SLEDSAP15 / SLES15 / SLESSAP15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2026:4129-1 advisory. Security issue fixed: - invalidating legacy libzypp unsigned-repository cache state LIBZYPP-LEGACY-CACHE-01 bsc1274625....

Astra Linux – Vulnerability in Ansible

A flaw was discovered in Ansible Engine, in ansible-engine 2.8.x before 2.8.15, and ansible-engine 2.9.x before 2.9.13, when installing packages using the dnf module. GPG signatures are ignored during installation, even when the disablegpgcheck parameter is set to False—which is the default...

Security update for libzypp, zypper

This update for libzypp, zypper fixes the following issues: Security issue fixed: invalidating legacy libzypp unsigned-repository cache state LIBZYPP-LEGACY-CACHE-01 bsc1274625. hasCredentials requires both username AND password to be non-empty bsc1273242. GPG Key hints in repoindex.xml require a...

envsec v1.0.0-rc.2

envsec Secure environment secrets management using native OS credential stores. Demo Features Store secrets in your OS native credential store not plain text files Cross-platform: macOS, Linux, Windows Organize secrets by context e.g. myapp.dev, stripe-api.prod, work.staging Track secret metadata...

PYSEC-2026-3799

opensslencrypt pip: openssl-encrypt versions = 1.4.8 use suffix-tolerant fingerprint matching in enrolltrustkey when binding a plugin-signing trust anchor. An operator who confirms a short forgeable, 32-bit GPG key id could unknowingly enroll an attacker's colliding key as a trusted anchor, which...

CVE-2026-81714

opensslencrypt pip: openssl-encrypt versions = 1.4.8 use suffix-tolerant fingerprint matching in enrolltrustkey when binding a plugin-signing trust anchor. An operator who confirms a short forgeable, 32-bit GPG key id could unknowingly enroll an attacker's colliding key as a trusted anchor, which...

PYSEC-2026-3799

opensslencrypt pip: openssl-encrypt versions = 1.4.8 use suffix-tolerant fingerprint matching in enrolltrustkey when binding a plugin-signing trust anchor. An operator who confirms a short forgeable, 32-bit GPG key id could unknowingly enroll an attacker's colliding key as a trusted anchor, which...