CVE-2022-26138

CVE-2022-26138 POC 描述 The Atlassian Questions For Confluence app for Confluence Server and Data Center creates a Confluence user account in the confluence-users group with the username disabledsystemuser and a hardcoded password. A remote, unauthenticated attacker with knowledge of the hardcoded...

StaCoAn

StaCoAn 不再维护！ 即将归档。 StaCoAn 是一款跨平台工具，帮助开发者、漏洞赏金猎人和白帽黑客对移动应用执行静态代码分析。 此工具将查找代码中可能包含以下内容的感兴趣的行： 硬编码凭据 API 密钥 API 的 URL 解密密钥 重大编码错误 此工具在创建时非常注重用户界面的易用性和图形化引导。 对于急于尝试的人，请从发布页面下载。 : 请注意，目前仅支持 apk 文件，但 ipa 文件很快也会支持。 可以在此处找到示例报告 这里。 目录 目录 功能特性 掠夺概念 词表 文件类型 响应式设计 限制 快速开始 从发布版本 Docker 从源码 构建可执行文件 Windows...

Teldat-Router-CVE-2022-POC

Teldat Router CVE-2022-39996 & CVE-2022-39997 POC 针对 Teldat RS123 / RS123w 路由器中发现的两种漏洞的概念验证。 概述 CVE ID| 类型| CWE| CVSS| 严重性 ---|---|---|---|--- CVE-2022-39996| 反射型 XSS| CWE-79| 6.1| 中危 CVE-2022-39997| 弱密码| CWE-521| 9.8| 严重 受影响产品： Teldat RS123、RS123w 路由器 CVE-2022-39997 - 弱密码 描述 Teldat RS123/RS123w...

whispers

Whispers 「私の小鳥たちはどこにでもいる。北でも、彼らは私に最も奇妙な物語を囁く。」 - ヴァリス卿 Whispersは、ハードコードされた認証情報や危険な関数を検索するために、さまざまな一般的なデータ形式を解析するように設計された静的コード解析ツールです。WhispersはCLIで実行することも、CI/CDパイプラインに統合することもできます。 検出項目 パスワード APIトークン AWSキー 秘密鍵 ハッシュ化された認証情報 認証トークン 危険な関数 機密ファイル サポートされている形式 Whispersは、構造化テキスト パーサーであり、コードパーサーではありません。...

CVE-2026-38577

CVE-2026-38577 — Tenda HG21 硬编码根凭据 摘要 字段| 值 ---|--- CVE ID| CVE-2026-38577 厂商| Tenda 产品| Tenda HG21（XPON 光纤调制解调器） 受影响版本| V4.0.0-260302 产品密钥| HG21-V1.0-TDE01 硬件版本| V1.0 固件构建日期| 2026-03-02 固件文件| USHG21re300002982enxpon2.zip 漏洞类别| CWE-798：使用硬编码凭据 发现者| Anmol Singh Rajput — 独立安全研究员 披露状态| 在 CVE 预留时尚未通知...

Sitecore Experience Manager (XM) and Experience Platform (XP) - Hardcoded Credentials

Sitecore Experience Manager XM and Experience Platform XP versions 10.1 to 10.1.4 rev. 011974 PRE, all versions of 10.2, 10.3 to 10.3.3 rev. 011967 PRE, and 10.4 to 10.4.1 rev. 011941 PRE contain a hardcoded user account. Unauthenticated and remote attackers can use this account to access...

Atlassian Questions For Confluence - Hardcoded Credentials

Atlassian Questions For Confluence contains a hardcoded credentials vulnerability. When installing versions 2.7.34, 2.7.35, and 3.0.2, a Confluence user account is created in the confluence-users group with the username disabledsystemuser and a hardcoded password. A remote, unauthenticated attack...

CVE-2026-13714

CVE-2026-13714 Realtyna Organic IDX 插件 + WPL Real Estate │ │ ├─ privatekey = │ │ ├─ cmd = setproperty │ │ └─ file = imageNxabc.php │ │─────────────────────────────────────────►│ │ │ API validates keys ✓ │ │ Saves file no type check │...

CVE-2024-28987

CVE-2024-28987 - SolarWinds Web Help Desk 硬编码凭据漏洞利用工具 ⚠️ 免责声明： 本工具仅用于教育和授权的安全测试目的 。未经授权访问计算机系统属于违法行为。请仅对您拥有或已获得明确测试许可的系统使用本工具。 📋 概述 CVE-2024-28987 是 SolarWinds Web Help Desk WHD 中的一个严重漏洞，允许远程攻击者使用硬编码凭据 访问敏感工单信息。该漏洞的 CVSS 评分为 9.1（严重） ，并且正在野外被积极利用。 漏洞详情 属性| 值 ---|--- CVE ID| CVE-2024-28987 CVSS 评分|...

JS-Secret-Hunter

JS Secret Hunter V2 🕵️‍♂️ JS Secret Hunter 是一款高级 Python 工具，专为安全研究人员设计，用于自动检测客户端 JavaScript 中硬编码的机密信息。 与简单扫描器不同，V2 包含一个动态爬虫，它会解析目标网站的 HTML，自动提取所有已加载的 JavaScript 文件，从而确保全面覆盖。 功能 🕷️ 动态爬取：解析 HTML，自动查找所有 标签。 🔍 基于正则的检测：识别私钥、API 令牌、AWS 密钥和数据库凭据。 📂 混合扫描：将动态爬取与常见敏感文件名字典相结合（例如 config.js）。 🛡️ 安全：仅进行被动扫描。 安装...

Turvan6rkus-CVE-2024-3273

🛠️ D-Link 网络存储设备命令注入 🌟 背景 D-Link 网络附加存储 （NAS），即网络存储 设备，是连接到计算机网络、带有硬盘（或多块硬盘）用于存储和共享文件的设备。与直接连接计算机的普通外置硬盘不同，网络存储设备连接到局域网，允许多个用户或设备同时使用和共享文件。网络存储设备广泛用于家庭和企业场景。 从事安全研究的公司 VulDB Coordination 在部分 D-Link 网络存储设备上发现了一个严重安全漏洞（CVE-2024-3273），该漏洞允许恶意用户通过网络执行命令注入，在受害者设备上运行恶意程序命令。 ⚙️ 漏洞 前提条件...

MAL-2026-17323 Malicious code in cortana-md-engine (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 9a2de4b6992a1dd7177803253b8c214d1ba7cc911cf0e1e7f800e1e9ff7ab5b1 cortana-md-engine is a Baileys-based WhatsApp bot whose bundled entrypoints dist/hosted.cjs and dist/index.cjs hardcode five...

CVE-2026-100294

In Anjvision YSSD‑RTMP‑H5 firmware version 3.3.2.4, the firmware embeds hardcoded cloud‑API credentials that are shared across deployed devices. Anyone obtaining the public firmware package can reuse these values to interact with the cloud service in ways not intended for normal operation...

EUVD-2026-89369

In Anjvision YSSD‑RTMP‑H5 firmware version 3.3.2.4, the firmware embeds hardcoded cloud‑API credentials that are shared across deployed devices. Anyone obtaining the public firmware package can reuse these values to interact with the cloud service in ways not intended for normal operation...

CVE-2026-46376

CVE-2026-46376 — FreePBX 未授权UCP访问（硬编码凭据） FreePBX 用户管理（userman）模块中的一个严重漏洞，允许未经身份验证的攻击者使用在 UCP 通用模板设置过程中嵌入的硬编码凭据访问用户控制面板（UCP）。 CVSS v4.0: 9.1（严重） | CWE-798: 使用硬编码凭据 披露时间：2026年5月15日 | 报告者：s0nnyWT 详情 当管理员使用可选的 UCP 通用模板设置功能（2021 年引入）时，会创建一个系统用户 FreePBXUCPTemplateCreator，其密码为硬编码、静态的...

CVE-2025-1242

CVE-2025-1242：管理级IoT Hub凭据暴露 通报 字段| 值 ---|--- CVE| CVE-2025-1242 ICSA| ICSA-26-055-03 CVSS 3.1| 9.1（严重） 向量| CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N CWE| CWE-798（使用硬编码凭据） 研究人员| Michael Groberman — Gr0m 发布日期| 2026-02-24 产品 字段| 值 ---|--- 供应商| Gardyn 产品| Gardyn Home Kit 1.0、2.0、3.0、4.0；Gardyn...

aigate

aigate AI生成代码的密钥卫生工具。检测提示、工具输入、生成代码及现有文件中硬编码的凭证。 快速开始 pip install aigate && aigate setup-all 完成。这将安装一个后台代理（脱敏模式）、一个用于文件扫描的 PostToolUse 钩子，并向 Claude Code 注册 MCP 服务器。重启终端以使环境变量生效。 需要 Python 3.11+ 和 jq。 功能概述 三层防护，同一检测引擎： 层级| 范围| 方式 ---|---|--- 代理| 网络层面| 拦截发往 AI API 的 HTTPS 请求。在凭证离开机器前将其脱敏。 钩子| Claud...

CVE-2026-13714

Realtyna WPL 5.3.0 - 未认证 RCE 漏洞利用 描述 此漏洞利用针对 Realtyna Organic IDX + WPL Real Estate 插件 5.3.0 之前的版本中的一个严重漏洞。该插件使用硬编码凭据，并允许未经认证的文件上传，从而导致远程代码执行（RCE）。 漏洞详情 CVE ID： CVE-2026-13714 受影响版本： 5.3.0 类型： 未认证的任意文件上传导致 RCE 研究人员： Thom Stackhouse 技术细节 该插件默认启用了 I/O API，并带有硬编码凭据： iopublickey =...

CVE-2022-24693

CVE-2022-24693 描述 固件版本为 QRTB 2.7.8 及更早版本的 Baicells Nova436Q 和 Neutrino 430 设备具有容易被发现的硬编码凭据，远程攻击者可通过 ssh 使用这些凭据进行身份验证。（这些凭据存储在固件中，由 crypt 函数加密。） CVSS 分数 CVSS 9.8 漏洞类型 CWE-284: 不当访问控制 产品厂商 BaiCells 受影响产品代码库 NOVA436Q - QRTB 2.7.8（可能所有 2.9.x 之前的版本） NEUTRINO430 - QRTB 2.7.8（可能所有 2.9.x 之前的版本） 受影响组件...

HPE-Aruba-AOS8-Vulnerabilities

⚠️ 披露状态： 本仓库中的所有发现已于 2026 年 5 月至 6 月期间 提交至 HPE Networking 漏洞赏金计划（Bugcrowd）。六份提交中有五份 在分类（triage）阶段被标记为“不适用（Not Applicable）”关闭， 且未对提交的证据进行技术性核对。 截至 2026 年 6 月，未发布任何修复。 完整报告来源 https://netacoding.com/posts/ghost-leak/ https://netacoding.com/posts/smurf-reflection/ https://netacoding.com/posts/xxe-ssrf...