tanscript-exploit-check

Mini Shai-Hulud Ataque a la Cadena de Suministro — Comprobador de IOCs root@kitploit: curl -fsSL https://raw.githubusercontent.com/nkopylov/tanscript-exploit-check/main/check-tanstack-exploit.sh | bash O clonar y ejecutar localmente: root@kitploit: git clone...

CVE-2026-45321-Tanstack

供应链攻击模拟 — CVE-2026-45321 TanStack 用于理解 npm 供应链攻击、CI/CD 滥用及安装时代码执行的教育实验室 免责声明 本项目仅用于： 网络安全学习， 防御性安全研究， 本地实验室模拟， 理解供应链攻击概念。 请勿将本项目用于： 攻击真实系统， 窃取凭证， 恶意软件部署， 未授权访问， 或其他非法活动。 描述 本实验室模拟了以下事件的基本概念： CVE-2026-45321 TanStack npm 供应链入侵 GitHub Actions CI/CD 滥用 npm 生命周期脚本执行 模拟在本地安全进行，不涉及： 真实凭证窃取， 令牌泄露，...

CVE-2020-7598

CVE-2020-7598 - minimist中的原型污染 免责声明 本项目仅用于： 学习， 安全研究， 以及个人本地实验室。 未经授权请勿用于任何系统。 关于CVE CVE-2020-7598 是 npm 包中的原型污染漏洞： minimist 受影响版本： = 1.0.0 1.2.3 此漏洞允许攻击者修改： root@kitploit: Object.prototype 通过类似以下payload： root@kitploit: --proto.isAdmin=true 导致： 所有JavaScript对象可能继承危险属性， 认证绕过， 权限提升， 甚至在某些条件下链式导致RCE。...

CVE-2026-45321-Tanstack

供应链攻击模拟 — CVE-2026-45321 TanStack 用于理解 npm 供应链攻击、CI/CD 滥用和安装时代码执行的教育性实验环境 免责声明 本项目仅用于： 网络安全学习， 防御性安全研究， 本地实验模拟， 理解供应链攻击的概念。 请勿将本项目用于： 攻击真实系统， 窃取凭证， 恶意软件部署， 未授权访问， 或其他非法活动。 描述 本实验模拟了该安全事件的基本概念： CVE-2026-45321 TanStack npm 供应链攻陷 GitHub Actions CI/CD 滥用 npm 生命周期脚本执行 模拟在本地安全进行，不会： 真正窃取凭证， 泄露令牌，...

Malicious code in webpackbootstrapscripts (npm)

[email protected] typosquats bootstrap and ships a disguised in-browser proxy kit. Its bundled loader index-z2b7r4.js XOR-decodes a list of endpoints with a fixed key and injects remote scripts from https://dyingefforlessefforlessours.com via document.head.appendChild, then boots a...

Malicious code in webpackbootstrap5 (npm)

[email protected] typosquats bootstrap and ships a disguised in-browser proxy kit. Its bundled loader index-z2b7r4.js XOR-decodes a list of endpoints with a fixed key and injects remote scripts from https://dyingefforlessefforlessours.com via document.head.appendChild, then boots a...

Malicious code in @zaka13/thing (npm)

@zaka13/[email protected] ships the same disguised in-browser proxy kit as webpackbootstrap5 and webpackbootstrapscripts by the same publisher zaka13. Its YXBp.js loader matches those packages' index-z2b7r4.js same sha256: it XOR-decodes endpoints with a fixed key, injects remote scripts from...

CVE-2026-52617

CVE-2026-52617 — @sworddut/mcp-ffmpeg-helper: OS command injection via ffmpeg tool options runFFmpegCommand passes a string built from MCP tool parameters to spawn…, shell: true , so shell metacharacters in options, format, codec, pixelFormat or extraOptions execute on the host running the server...

NPMAnalysis

简介 近期，与 NPM 投毒攻击相关的安全事件接连发生。 此类事件发生时，受影响的 NPM 包往往会被从 NPM 仓库中移除或取消发布，导致后续的安全分析难以进行。 基于这一情况，我们创建了一个项目，用于收集和归档涉及投毒攻击的恶意 NPM 包，以此作为未来安全研究与分析的资源。 欢迎安全研究人员提交 Pull Request，为该项目贡献力量。...

CVE-2024-21532-PoC-ggit

CVE-2024-21532 ggit 中的命令注入漏洞 ggit 这样描述自己： root@kitploit: Local promise-returning git command wrappers 资源： 项目的 GitHub 源代码：https://github.com/bahmutov/ggit 项目的 npm 包：https://www.npmjs.com/package/ggit...

pmg

Package Manager Guard PMG Block malicious npm and pip packages before they install. Defense in depth for the package managers you already use...

pmg

Package Manager Guard PMG Block malicious npm and pip packages before they install. Defense in depth for the package managers you already use...

CVE-2025-29927

CVE-2025-29927 在 Next.js 15.2.0 中的漏洞 运行方法： root@kitploit: git clone https://github.com/nyctophile0969/CVE-2025-29927 cd CVE-2025-29927 npm install [email protected] npm run dev...

CVE-2024-21533-PoC-ggit

CVE-2024-21533 ggit 中的参数注入漏洞 ggit 这样描述自己： root@kitploit: Local promise-returning git command wrappers 资源： 项目的 GitHub 源代码：https://github.com/bahmutov/ggit 项目的 npm 包：https://www.npmjs.com/package/ggit...

CVE-2021-44906

CVE-2021-44906 Originalmente de: https://github.com/Marynk/JavaScript-vulnerability-detection/blob/main/minimist%20PoC.zip Ejecución root@kitploit: npm run hack Y verás que la propiedad done de cualquier función se cambia a true. La explicación de la línea de comando node index.js...

React2Shell-CVE-2025-55182

HackIndex.IO - React2Shell - CVE-2025-55182 + CVE-2025-66478 用于 React2Shell 漏洞的 HackIndex.io 沙箱环境。 这将在 3000 端口启动一个 Web 应用，并在 2222 端口启动一个 SSH 服务器。 启动环境 root@kitploit: docker compose up --build --force-recreate SSH Web 管理员（端口 2222） webadmin - TrainingPassword123! root@kitploit: ssh...

CVE-2023-45827

CVE-2023-45827 漏洞概述 CVE-2023-45827 CVSS : 9.8 Nov 3, 2023 ProtoType Pollution in node.js package 作为 rebob 项目的一部分 漏洞描述 github advisories 这是 dot-diver 中的一个原型污染PP漏洞。它可能导致 RCE。 漏洞代码 root@kitploit: //https://github.com/clickbar/dot-diver/tree/main/src/index.ts:277 //eslint-disable-next-line...

Malicious code in @biz44/id12-client (npm)

This package is part of a malicious npm campaign published by the biz44 account. Importing the package automatically launches a detached JavaScript loader that retrieves and executes additional code from npoint.io. The retrieved payload communicates with an attacker-controlled server and implemen...

Malicious code in @biz44/id95-client (npm)

This package is part of a malicious npm campaign published by the biz44 account. Importing the package automatically launches a detached JavaScript loader that retrieves and executes additional code from npoint.io. The retrieved payload communicates with an attacker-controlled server and implemen...

Malicious code in @biz44/id99-client (npm)

This package is part of a malicious npm campaign published by the biz44 account. Importing the package automatically launches a detached JavaScript loader that retrieves and executes additional code from npoint.io. The retrieved payload communicates with an attacker-controlled server and implemen...