CVE-2022-24449

CVE-2022-24449 Solar Appscreener XXE 提案された説明 Solar AppScreener SASTツールのバージョン3.10.4までに問題が見つかりました。権限のない攻撃者は、脆弱なバージョンがインストールされている影響を受けるホストに対して、有効期限切れまたは未インストールのライセンスを持つホストに特別に細工されたXMLファイルをアップロードすることで悪用する可能性があります。最低限認められた影響はXXE-SSRFです。 追加情報 修正バージョン: 3.10.4 脆弱性タイプ Other CWE-611: XML外部エンティティ参照の不適切な制限...

noir

コード内のすべてのエンドポイントを追跡し、シャドウAPIを露呈させ、攻撃対象領域をマッピングします。 ドキュメント • インストール • 使い方 • コントリビュート • 変更履歴 Noir は SAST ツールで、ソースコードを読み取り、アプリケーションが公開するエンドポイント（パス、メソッド、パラメータ、ヘッダー、クッキー、それらの背後にあるソースファイル）を抽出します。シャドウ API、非推奨のルート、文書化されていないハンドラーもすべて同じインベントリの一部として出力されます。別モードは不要です。 このインベントリは3つの対象者に役立ちます： 人間のレビュアー...

SucoshScanny

Sucosh Scanny "Sucosh" は、自動化されたソースコード脆弱性スキャナーSASTであり、PythonFlask-DjangoおよびNodeJs向けの評価フレームワークです。Webアプリケーション開発やソースコード分析プロセスにおいてコードレビューを実行できます。与えられたソースコード内の多くの脆弱性RCE、SSTI、安全でないデシリアライゼーション、SSRF、SQLI、CSRFなどを検出できます。現在のところ、pythonflask,djangoおよびnodejsexpress js.言語の検出モジュールのみが完成しています。将来的には、phpLaravel,...

scorecard

OpenSSF Scorecard...

Callisto

Callisto 智能自动化二进制漏洞分析工具 演示： Callisto 是一个智能自动化二进制漏洞分析工具。其目的是自主反编译提供的二进制文件，并遍历输出的伪代码，寻找该伪 C 代码中潜在的安全漏洞。Ghidra 的无头反编译器驱动了二进制反编译和分析部分。伪代码分析首先由 Semgrep SAST 工具执行，然后传递给 GPT-3.5-Turbo 以验证 Semgrep 的发现，并可能识别额外的漏洞。 该工具旨在辅助二进制分析和零日漏洞发现。其输出旨在帮助研究人员识别二进制文件中可能感兴趣的区域或易受攻击的组件，随后可通过动态测试进行验证和利用。它当然无法捕获所有漏洞，但通过...

bearer

ソースコードをスキャンして、主要なセキュリティ およびプライバシー のリスクを検出します。 Bearerは、ソースコードをスキャンしてデータフローを分析し、セキュリティとプライバシーのリスクを特定、フィルタリング、優先順位付けするために設計された静的アプリケーションセキュリティテスト（SAST）ツールです。 Bearerは、無料のオープンソリューションであるBearer CLIと、Cycodeから入手可能な商用ソリューションBearer Proを提供しています。 はじめに - よくある質問 - ドキュメント - バグを報告 言語サポート...

Resources-for-Application-Security

Updated post at https://ishaqmohammed.me/posts/resources-for-application-security/ アプリケーションセキュリティのためのリソース アプリケーションセキュリティを始めるための優れたリソース集 注意: ここに挙げたリソースは、私がアプリケーションセキュリティの学習で使用するものです。学習目的でのみ自由に使用してください。提案があれば、TwitterでDMしてください。 開発 アプリケーションセキュリティの書籍とオンラインリソース ハンズオンCTF SASTとDAST アプリケーションのセキュリティ対策...

deepsecrets

DeepSecrets - a better tool for secret scanning !WARNING Active development was switched to the creator's fork at https://github.com/ntoskernel/deepsecrets. This repository will not receive any updates...

nodejsscan

nodejsscan Static security code scanner SAST for Node.js applications powered by libsast and semgrep. Made with in India Support nodejsscan Donate via Paypal: Sponsor the Project: e-Learning Courses & Certifications OpSecX Node.js Security: Pentesting and Exploitation - NJS Run nodejsscan...

progpilot

progpilot 一个用于PHP的静态应用安全测试（SAST）工具 安装 有多种选项可供选择，请选择最适合您使用场景的选项。 使用 PHAR 发布版...

abap-code-scanner

OWASP ABAP 代码扫描器 针对 SAP ABAP 的静态应用安全测试（SAST）。 一个免费、开源的 CLI，用于在离线环境和 CI 中发现自定义 ABAP 代码中的安全漏洞。 版本...

sast-scan

はじめに root@kitploit: ███████╗ ██████╗ █████╗ ███╗ ██╗ ██╔════╝██╔════╝██╔══██╗████╗ ██║ ███████╗██║ ███████║██╔██╗ ██║ ╚════██║██║ ██╔══██║██║╚██╗██║ ███████║╚██████╗██║ ██║██║ ╚████║ ╚══════╝ ╚═════╝╚═╝ ╚═╝╚═╝ ╚═══╝ Scan...

bugsy

Bugsy Bugsy is a command-line interface CLI tool that provides automatic security vulnerability remediation for your code. It is the community edition version of Mobb, the first vendor-agnostic automated security vulnerability remediation tool. Bugsy is designed to help developers quickly identif...

mobileAudit

Mobile Audit MobileAudit - Android移动APK的SAST与恶意软件分析 一个Django Web应用程序，用于对Android APK进行静态分析并检测恶意内容。该项目提取应用元数据，扫描源代码中的弱点，并将结果（SAST发现、最佳实践、证书信息、字符串、数据库、文件、VirusTotal等）聚合到可浏览的仪表盘和API中。 DeepWiki文档：https://deepwiki.com/mpast/mobileAudit 组件 Docker基础镜像 主要功能 模式 模型 安装 API v1 使用 Swagger ReDoc 端点 TLS 前置要求...

sast-rules

Semgrepルール これは中央のSemgrepルールリポジトリであり、GitLab semgrepアナライザのSemgrepルールをホストしています。 リポジトリは次のように構成されています： root@kitploit: . ├── mappings │ ├── findsecbugs.yml │ ├── eslint.yml │ └── ... ├── rules │ ├── lpgl │ │ ├── java │ │ │ ├── webview │ │ │ │ ├── rule-ignoresslcertificateerror.yml │ │ │ │ ├──...

GitLeaks

GitLeaks GitLab CI コンポーネント Gitleaks 用の GitLab CI コンポーネント - パスワード、API キー、トークンといったハードコードされた秘密情報を git リポジトリで検出・防止する SAST ツールです。 機能 シークレット検出 : リポジトリをスキャンし、ハードコードされた秘密情報や機密情報を検出します。 包括的なルール : さまざまな種類の秘密情報を検出するための豊富なビルトインルール カスタム設定 : ローカルおよびリモート設定ファイルのサポート 複数の出力形式 : JSON、SARIF、その他のレポート形式をサポート 柔軟な引数 :...

vulnhawk

AI を活用したコードセキュリティスキャナー。Semgrep や CodeQL が見逃す脆弱性を発見します。 クイックスタート • GitHub Action • 比較 • 対応言語 • FAQ 問題点 従来の SAST ツールはパターンマッチングと AST ルールに依存しています。既知の脆弱性パターンの検出には優れていますが、意図 を推論することは基本的にできません。 API に 20 のエンドポイントがあり、そのうち 19 がリソース操作前に認可を確認している場合、Semgrep はその確認を行っていない 1...

duo-agentflow-auditor

Duo AgentFlow Auditor AIコードセキュリティ — SASTが見逃す脆弱性をAI生成コードから検出 GitLab Duo Agent プラットフォーム上に構築...

Eopi-Hunt-Skill

Eopi-Hunt-Skill Authorized security research toolkit comb...

CVE-2026-24069

Kiuwan SAST improperly authorizes SSO logins for locally disabled mapped user accounts, allowing disabled users to continue accessing the application. Kiuwan Cloud was affected, and Kiuwan SAST on-premise KOP was affected before 2.8.2509.4...