Vikunja: CalDAV and feeds BasicAuth endpoints have no rate limit, bypassing the anti-brute-force floor on account passwords

Summary The /dav, /.well-known, and /feeds groups are registered on the root Echo instance with only BasicAuth and no rate limiter. CalDAV BasicAuth accepts the plain account password, so password guessing over /dav is unbounded and never returns 429, while /api/v1/login is throttled from the ten...

GHSA-M469-88XX-8RX2 Vikunja: CalDAV and feeds BasicAuth endpoints have no rate limit, bypassing the anti-brute-force floor on account passwords

Summary The /dav, /.well-known, and /feeds groups are registered on the root Echo instance with only BasicAuth and no rate limiter. CalDAV BasicAuth accepts the plain account password, so password guessing over /dav is unbounded and never returns 429, while /api/v1/login is throttled from the ten...

Vikunja: Every /api/v2 pre-auth endpoint is unthrottled on a stock install while its /api/v1 twin is rate limited

Summary registerAPIRoutesV2 never applies the unconditional pre-auth rate-limit floor unauthRateLimit to the v2 public routes — it passes that limiter only to /api/v2/ws — and otherwise relies on setupRateLimit, which registers nothing when ratelimit.enabled is false the default. So on a stock...

CVE-2025-61560

A race condition vulnerability in the SessionManager of CNCF: Cloud Native Computing Foundation Argo CD v3.0.6 allows attackers to bypass rate limiting and perform a brute force attack via repeated crafted requests...

CVE-2024-41276

CVE-2024-41276 تجاوز مصادقة Kaiten Kaiten - نظام إدارة سير العمل. تسمح ثغرة أمنية في Kaiten للمهاجمين بتجاوز آلية مصادقة رمز PIN. يتطلب التطبيق من المستخدمين إدخال رمز PIN مكون من 6 أرقام يُرسل إلى بريدهم الإلكتروني للتحقق بعد إدخال بيانات تسجيل الدخول. ومع ذلك، يمكن تجاوز آلية الحد من الطلبات...

openclaw-dashboard

لوحة تحكم OpenClaw Agent لوحة تحكم جميلة وآمنة للمراقبة في الوقت الفعلي لوكلاء OpenClaw. تتبّع الجلسات، وراقب استخدام API، واعرض التكاليف، وأدر ملفات الذاكرة، وراقب صحة النظام - كل ذلك في مكان واحد. لقطات الشاشة نظرة عامة| الجلسات| التكاليف ---|---|--- | | حدود المعدل| البث المباشر| السجلات...

github-dorks

Github Dorks Github Search is a quite powerful and useful feature that can be used to search for sensitive data on repositories. Collection of Github dorks can reveal sensitive personal and/or organizational information such as private keys, credentials, authentication tokens, etc. This list is...

nmap

Nmap Nmap is released under a custom license, which is based on but not compatible with GPLv2. The Nmap license allows free usage by end users, and we also offer a commercial license for companies that wish to redistribute Nmap technology with their products. See Nmap Copyright and Licensing for...

CVE-2026-11103-GraphQL-Batching-Alias-Rate-Limit-Bypass

3. CVE-2026-11103 – Contournement de la limite de débit par alias et batching GraphQL Code du programme exploit Node.js + Python // graphqlratelimitserver.js - GraphQL with naive rate limiter const express = require'express'; const graphqlHTTP = require'express-graphql'; const buildSchema =...

Astra

Astra REST API penetration testing is complex due to continuous changes in existing APIs and newly added APIs. Astra can be used by security engineers or developers as an integral part of their process, so they can detect and patch vulnerabilities early during development cycle. Astra can...

goop

goop ساحب نتائج بحث Google ملاحظة: لم يعد يعمل. أخبرني فريق Google أنها ليست مشكلة مشروعة عندما أبلغتهم بها ولكن الآن قاموا بإصلاحها بصمت. المحتويات مقدمة كيف يعمل؟ الاستخدام التثبيت مثال الإخلاء القانوني وبيان المسؤولية مقدمة يمكن لـ goop إجراء عمليات بحث في Google دون أن يتم حظرها بواسطة اختبار...

PoC-ubuntutouch-pin-privesc

MISE À JOUR 09.09.2022 J'ai obtenu un nouveau CVE pour cette vulnérabilité : CVE-2022-40297. Preuve de concept : Élévation de privilèges dans Ubuntu Touch 16.04 - par force brute du code secret Ubuntu Touch vous permet de « protéger » les appareils avec un code secret à 4 chiffres. Un tel code a...

batchql

BatchQL BatchQL هي أداة تدقيق أمني لـ GraphQL تركز على تنفيذ استعلامات وتحويرات مجمعة batch queries and mutations. هذه الأداة ليست معقدة، ونرحب بتحسيناتها. عند استكشاف مجال هجمات التجميع batching attacks في GraphQL، وجدنا أن هناك عددًا قليلًا من المقالات على الإنترنت، ولكن لا توجد أداة لتنفيذ هجم...

gitls

Enumerate git repository URL from list of URL / User / Org. Friendly to pipeline This tool is available when the repository, such as github, is included in the bugbounty scope. Sometimes specified as an org name or user name rather than a specific repository, you can use this tool to extract url...

requests-ip-rotator

برعاية Swiftproxy بروكسيات سكنية عالية الأداء مع مجموعة IP تتجاوز 80 مليون عبر أكثر من 195 دولة — تحسّن معدلات نجاح الطلبات وتقلل حظر عناوين IP أثناء جمع البيانات على نطاق واسع وأتمتة المتصفحات. مثالية للاستخدام مع requests-ip-rotator و Playwright و Selenium وأدوات السكرابينغ الأخرى. ابدأ النسخة...

CrackQL

CrackQL CrackQL هي أداة لاختبار اختراق GraphQL تقوم بتخمين كلمات المرور والفحص العشوائي. CrackQL هي أداة متعددة الاستخدامات لاختبار اختراق GraphQL تستغل ضعف التحكم في معدل الطلب وتحليل التكلفة لتخمين بيانات الاعتماد وفحص العمليات بشكل عشوائي. جدول المحتويات كيف تعمل حالات الهجوم تجنب الدفاعات هجو...

waymore

حول - v8.9 الفكرة وراء waymore هي العثور على المزيد من الروابط من Wayback Machine بالإضافة إلى مصادر أخرى أكثر من الأدوات الحالية الأخرى. 👉 الفرق الأكبر بين waymore والأدوات الأخرى هو أنه يمكنه أيضًا تنزيل الردود المؤرشفة لعناوين URL الموجودة على wayback machine و URLScan بحيث يمكنك بعد ذلك البحث...

xmlrpc-brute

أداة اختراق ووردبريس عبر XML-RPC أداة مصممة لاختبار مواقع ووردبريس بحثًا عن ثغرات XML-RPC من خلال محاولة تخمين بيانات اعتماد المستخدمين عبر واجهة XML-RPC. الوصف تختبر هذه الأداة تثبيتات ووردبريس بحثًا عن ثغرات المصادقة عبر XML-RPC. يمكنها تنفيذ هجمات تخمين قياسية أو استخدام system.multicall لاختب...

CVE-2023-38545-POC

CVE-2023-38545 POC لأداة سطر الأوامر curl يعتمد هذا POC على POC السابق الذي أنشأه UTsweetyfish والمشار إليه في هذا المستودع:https://github.com/UTsweetyfish/CVE-2023-38545. على عكس ذلك POC، فإن هذا مخصص لأداة سطر الأوامر وليس لمكتبة libcurl، ولا يتطلب Python ولا يحتاج إلى تجميع هذا POC مخصص لـ cur...

mountain_goat

Salut, je suis une chèvre de montagne et je vais encorner vos connexions TCP, parce que c'est un truc bien caprin à faire. Ceci est une preuve de concept PoC démontrant des techniques exploitant la CVE-2016-5696 Off-Path TCP Exploits: Global Rate Limit Considered Dangerous par Yue Cao, Zhiyun Qia...