mitmproxy2swagger

mitmproxy2swagger https://user-images.githubusercontent.com/5400940/168086818-c48f60ab-3f95-42eb-b435-c8b1a6326b81.mp4 mitmproxy 캡처를 OpenAPI 3.0 사양으로 자동 변환하는 도구입니다. 즉, 앱을 실행하고 트래픽을 캡처하기만 하면 REST API를 자동으로 리버스 엔지니어링할 수 있습니다. 🆕 새 기능! 브라우저 DevTools에서 내보낸 HAR 파일 처리 지원이 추가되었습니다. 자세한 내용은 사용법 - HAR을...

BFScan

BFScan APK / XAPK / APKM / DEX / JAR / WAR アプリケーションの初期処理のためのツール。 ソースコードとリソース内で、URI、パス、またはシークレットのように見える文字列を検索します 設定ファイル、クラスおよびメソッドのアノテーションに基づいて、生のHTTPリクエストとOpenAPI仕様を生成します 対応クライアントライブラリ Square Retrofit Ktorfit Feign 対応サーバーライブラリ Spring Web Annotations Spring SimpleUrlHandlerMapping Spring...

CVE-2018-25031

CVE-2018-25031 CVE-2018-25031 のエクスプロイトテスト Swagger UI 4.1.3 より前のバージョンでは、リモート攻撃者がなりすまし攻撃を実行できる可能性があります。被害者に細工された URL を開くよう誘導することで、攻撃者はこの脆弱性を悪用してリモートの OpenAPI 定義を表示させることができます。 使用方法 ドキュメントエンドポイントを見つけ、パラメータ "configUrl" に test.json を指定するか、"url" に test.yaml を指定します。 root@kitploit:...

api-security-audit-action

GitHub Action: 42Crunch REST API 静的セキュリティテスト REST API 静的セキュリティテストアクションは、OpenAPI Specification（OAS、旧称 Swagger）に準拠した REST API コントラクトをリポジトリ内から探し出し、それらに対して徹底的なセキュリティチェックを実行します。OAS v2 と v3.0.x の両方をサポートしており、JSON 形式と YAML 形式の両方に対応しています。 このアクションは、次のようなシナリオで利用できます。 CI/CD ワークフローに自動的な静的 API...

OFFAT

OWASP OFFAT OWASP OFFAT공격적 API 테스터은 openapi 명세 파일에서 테스트를 생성한 후 API의 일반적인 취약점을 자동으로 테스트하기 위해 만들어졌습니다. YAML 구성 파일을 통해 테스트 중 자동으로 입력을 퍼징하고 사용자가 제공한 입력을 사용하는 기능을 제공합니다. 데모 참고: 테이블에서 'dataleak' 및 'result' 열은 독립적인 측면을 나타냅니다. 엔드포인트에 데이터 유출이 있을 수 있지만 해당 엔드포인트의 결과는 여전히 'Success'로 표시될 수 있습니다. 이는 'result' 열...

Directus < 11.9.0 - Version Disclosure

Directus versions from 9.0.0 before 11.9.0 expose the exact running version through the OpenAPI specification returned by the unauthenticated /server/specs/oas endpoint. The version is placed in the OpenAPI info.version field, letting an unauthenticated attacker fingerprint the precise Directus...

OpenAPI Generator <= 7.5.0 - Arbitrary File Read/Delete

OpenAPI Generator versions 7.5.0 and below are prone to an Arbitrary File Read/Delete vulnerability. Attackers can exploit this vulnerability to read and delete files and folders from an arbitrary, writable directory. id: CVE-2024-35219 info: name: OpenAPI Generator = 7.5.0 - Arbitrary File...

openapi-parser

openapi-parser !UPDATE この拡張機能は、最新の Burp Montoya Java API を使用するように更新されました。UI/UX とパフォーマンスの両方を向上させるために、拡張機能は完全に再構築されました。これらの変更により、拡張機能は最新かつ最適化された状態で使用できるようになります。 openapi-parser は、 ベースの テスト向けに設計された 拡張機能です...

CVE-2018-25031

CVE-2018-25031 説明: Swagger UI 4.1.3 より前のバージョンでは、リモートの攻撃者がなりすまし攻撃を仕掛ける可能性があります。被害者に細工されたURLを開かせることで、攻撃者はこの脆弱性を悪用してリモートのOpenAPI定義を表示させることができます。 攻撃前のスクリーンショット: PoC: root@kitploit: /index.html?configUrl=https://raw.githubusercontent.com/afine-com/CVE-2018-25031/main/poc.json...

VAmPI

VAmPI 脆弱なAPI OpenAPI 3 ベース VAmPIはFlaskで作られた脆弱なAPIであり、API向けのOWASP Top 10の脆弱性を含んでいます。APIのセキュリティ問題を検出するためのツールの効率を評価するために、脆弱なAPIが必要だったことから作成されました。テスト中にAPIを脆弱にするかどうかを切り替えるオン/オフスイッチが含まれています。これにより、偽陽性/偽陰性のケースをより適切にカバーできます。VAmPIは学習/教育目的にも使用できます。脆弱性の詳細については、erev0s.comをご覧ください。 特徴 API向けOWASP Top 10脆弱性に基づく。...

openapi_security_scanner

OpenAPI 보안 스캐너 프로젝트 소개 최신 웹 애플리케이션의 인가 보안 문제는 보안 스캐너로 쉽게 탐지되지 않습니다. Shopify, LINE, NordVPN의 몇 가지 예시가 있습니다. 그 이유 중 하나는 보안 스캐너가 주로 SQLi, XSS, RCE를 찾고 인가 보안 버그는 찾지 않으며, 일반적으로 웹 애플리케이션이 어떻게 동작해야 하는지에 대한 지식이 부족하기 때문입니다. 그래서 대부분의 인가 버그는 현재 주로 수동으로 발견됩니다. OpenAPI Security Scanner는 자동화와 수동 검토 모두를 통해 인가 보...

sj

sj Swagger Jacker sjは、公開されているSwagger/OpenAPI定義ファイルに関連するAPIエンドポイントをチェックし、弱い認証を監査するためのコマンドラインツールです。また、手動脆弱性テスト用のコマンドテンプレートも提供します。 このツールは、定義ファイルからパス、パラメータ、および受け入れられるメソッドを解析し、その結果を5つのサブコマンドのいずれかで使用することで機能します。 automate - 一連のリクエストを作成し、レスポンスのステータスコードを分析します。 prepare - 手動テストに使用するコマンドのリストを生成します。 endpoints...

restler-fuzzer

RESTler What is RESTler? RESTler is the first stateful REST API fuzzing tool for automatically testing cloud services through their REST APIs and finding security and reliability bugs in these services. For a given cloud service with an OpenAPI formerly Swagger specification, RESTler analyzes its...

restler-fuzzer

RESTler RESTlerとは？ RESTlerは、クラウドサービスのREST APIを介して自動的にテストを行い、セキュリティと信頼性のバグを発見するための、 初のステートフルREST APIファジングツール です。OpenAPI（旧Swagger）仕様を持つクラウドサービスに対し、RESTlerはその仕様全体を解析し、REST APIを通じてサービスをテストするテストを生成・実行します。...

cherrybomb

cherrybombv1.0.png 절반만 작성된 API 명세를 멈추세요 💣 Cherrybomb이란? Cherrybomb은 Rust로 작성된 CLI 도구로, 개발 초기에 잘못된 코드 구현을 방지하는 데 도움을 줍니다. OpenAPI 파일을 사용하여 API를 검증하고 테스트합니다. 주요 목표는 보안 오류를 줄이고 API가 의도한 대로 작동하도록 하는 것입니다. 🔨 어떻게 작동하나요? Cherrybomb은 API가 올바르게 작동하는지 확인합니다. API의 명세 파일OpenAPI Specification이 모범 사례를 따르고 OAS...

REST-Attacker

REST-Attacker REST-Attackerは、RESTアーキテクチャスタイルに従うAPI向けの自動ペネトレーションテストフレームワークです。 このツールの焦点は、最小限の設定で、テスト生成、アクセス制御処理、レポート生成を含むテストプロセスを完全に自動化することにより、汎用REST API実装の分析を効率化することです。 さらに、REST-Attackerは柔軟で拡張可能になるように設計されており、大規模テストと詳細分析の両方をサポートします。 REST-Attackerは、ボーフム大学のネットワーク・データセキュリティ学科によってメンテナンスされています。 Features...

EUVD-2026-82602

go-openapi/swag jsonutils before 0.27.1 contains a stack overflow vulnerability in ordered JSON parsing and serialization due to unbounded recursion with no depth limit. Remote unauthenticated attackers can submit deeply nested JSON documents to services accepting OpenAPI specifications, causing...

CVE-2026-93450

go-openapi/swag jsonutils before 0.27.1 contains a stack overflow vulnerability in ordered JSON parsing and serialization due to unbounded recursion with no depth limit. Remote unauthenticated attackers can submit deeply nested JSON documents to services accepting OpenAPI specifications, causing...

CVE-2026-93450

CVE-2026-93450 affects go-openapi/swag (the jsonutils component) in versions before 0.27.1 . The root cause is unbounded recursion with no depth limit in ordered JSON marshal and unmarshal operations. A remote, unauthenticated attacker can submit a deeply nested JSON document to any service that ...

CVE-2026-93450 go-openapi/swag jsonutils before 0.27.1 Uncontrolled Recursion in Ordered JSON Marshal and Unmarshal

go-openapi/swag jsonutils before 0.27.1 contains a stack overflow vulnerability in ordered JSON parsing and serialization due to unbounded recursion with no depth limit. Remote unauthenticated attackers can submit deeply nested JSON documents to services accepting OpenAPI specifications, causing...