firecracker

Our mission is to enable secure, multi-tenant, minimal-overhead execution of container and function workloads. Read more about the Firecracker Charter here. What is Firecracker? Firecracker is an open source virtualization technology that is purpose-built for creating and managing secure,...

cloudfoundry_uaa

CloudFoundry ユーザーアカウントおよび認証（UAA）サーバー UAAはマルチテナントID管理サービスであり、Cloud Foundryで使用されますが、スタンドアロンのOAuth2サーバーとしても利用可能です。主な役割はOAuth2プロバイダーであり、Cloud Foundryユーザーに代わって動作するクライアントアプリケーションが使用するトークンを発行します。また、Cloud...

EUVD-2026-70489

Label Studio fails to apply organization filters when resolving storage URIs for tasks and projects in proxyapi.py endpoints. Attackers can access other tenants' cloud storage objects by creating a separate organization and supplying arbitrary file URIs to presign or stream bucket contents...

EUVD-2026-70482

Helicone's VaultManager.getDecryptedProviderKeyById function in the GET /v1/vault/key/providerKeyId endpoint fails to validate the requester's organization against the vault key's organization identifier. Attackers with admin or owner privileges in any organization can retrieve decrypted upstream...

CVE-2026-85178

Helicone 's VaultManager.getDecryptedProviderKeyById() function on the GET /v1/vault/key/{providerKeyId} endpoint fails to validate the requester's organization against the vault key's organization identifier. An attacker with admin or owner privileges in any single organization can retrieve decr...

CRT

Azure向けCrowdStrikeレポートツール（CRT） このツールは、Azure AD/O365テナントの以下の構成を照会し、見つけにくい権限や構成設定を明らかにすることで、組織がこれらの環境をセキュリティ保護する際に役立ちます。 Exchange Online（O365）: フェデレーション構成 フェデレーション信頼 メールボックスで構成されたクライアントアクセス設定 リモートドメインのメール転送ルール メールボックスSMTP転送ルール メールトランスポートルール 「完全アクセス」権限が付与された委任者 任意の権限が付与された委任者 「送信者として」または「代理送信」権限を持つ委...

OWASP-Top-10-AI-Infrastructure-Security-Risks

数据中心与AI基础设施安全风险Top 10 FORGE - 加固模型之下的金属层。 🌐 网站： https://forge-framework.io 执行摘要 AI数据中心的建设速度远超其安全防护速度。 数据中心、GPU云和专用计算环境的快速扩张，在硬件、网络、存储、编排、身份、管理平面和物理运维等方面引入了安全风险。其中许多风险与传统数据中心或云安全问题相似，但现代数据中心和AI基础设施改变了其严重程度：原本为可信运营商设计的系统，如今正在支撑来自无关客户的高价值、多租户工作负载。 数据中心与AI基础设施安全风险Top 10...

Azure-APIM-Cross-Tenant-Signup-Bypass

Azure APIM クロステナント登録バイパス ステータス 2025年12月1日: この脆弱性は現在も有効であり、悪用可能です。Microsoft はこの問題を修正しておらず、「仕様 by design」と見なしています。 セキュリティアドバイザリ GHSA-vcwf-73jp-r7mv CVE-2025-66390 概要 Azure API Management APIM Developer Portal のセキュリティ脆弱性により、管理者がポータル UI でユーザー登録を無効にしている場合でも、Basic 認証が有効になっている任意の APIM...

loki

Loki: como Prometheus, pero para logs. Loki es un sistema de agregación de logs multiinquilino, altamente disponible y escalable horizontalmente, inspirado en Prometheus. Está diseñado para ser muy rentable y fácil de operar. No indexa el contenido de los logs, sino un conjunto de etiquetas para...

CVE-2021-1056

CVE-2021-1056 CVE-2021-1056 は、私がNVIDIA PSIRTに報告した脆弱性です。個人的には、マルチテナントHPCクラスタ、特にクラウド機械学習プラットフォームにおいて高いセキュリティリスクにつながる可能性があります。 このリポジトリは、nvidia-container-runtime によって作成されたGPUコンテナ上でこの脆弱性を簡単に実証するものです。 動作の仕組み 特定のキャラクタデバイスファイルを作成することで、GPUコンテナnvidia-container-runtime...

ATEAM

ATEAM: Azure テナント列挙・帰属判定モジュール Azure サービスを発見し、その応答に基づいてテナント所有権情報を特定するために設計された Python 製偵察ツールです。 著者、貢献者、ライセンス 著者: Karl Fosaaen（@kfosaaen - ほとんどのプラットフォーム）、NetSPI Thomas Elling（@thomaselling1）、NetSPI ライセンス: BSD 3-Clause 🎯 目的 このツールは、セキュリティ研究者、ペネトレーションテスター、Azure 管理者が特定のテナント ID に関連付けられた Azure...

power-pwn

メンテナンス: AI エージェントをあらゆる場所でセキュアに。 概要 Power Pwn は、Microsoft 365 Power Platform および AI サービス向けの攻撃・防御両用セキュリティツールセットです。 主な機能（一部）: 💾 PowerDump : テナント全体のスキャンとデータ収集を包括的に実行 🚪 BackDoor : Power Platform 環境への永続的なアクセスを実現するバックドアフローを展開 🦠 NoCodeMalware : コードを書かずに悪意のある Power Platform アーティファクトを作成・展開 🎣 PowerPhishing ...

AzureHound

AzureHound 用于 Microsoft Azure 的 BloodHound 数据收集器 获取 AzureHound 发布二进制文件 请从我们的 Releases 页面下载适用于您平台的二进制文件。 滚动发布 滚动发布包含预构建的二进制文件，这些文件会自动与 main 分支保持同步，可从 此处 下载。 警告： 滚动发布可能不稳定。 编译 先决条件 Go 1.25 或更高版本 要从源代码构建此项目，请运行以下命令： root@kitploit: go build -ldflags="-s -w -X...

365Inspect

目的 Microsoft 365 環境のセキュリティ評価を自動化する PowerShell スクリプトを作成することで、Microsoft 365 セキュリティの状態を向上させます。 Soteria Inspect Soteria Inspect は365Inspectプロジェクトから生まれ、Microsoft 365サービスの全スイートにわたる200以上の検査ポイントでMicrosoft 365テナントのセキュリティ評価を支援するSoteriaのSaaSソリューションです。 Soteria Inspect for Microsoft...

offensive-azure

Collection of offensive tools targeting Microsoft Azure written in Python to be platform agnostic. The current list of tools can be found below with a brief description of their functionality. ./DeviceCode/devicecodeeasymode.py Generates a code to be entered by the target user Can be used for...

EUVD-2026-58507

OpenChoreo: Cross-project command execution and wirelog view access via OpenChoreo openchoreo-api exec and wirelogs endpoints...

SeaweedFS: Filer JWT allowed_prefixes literal prefix match allows cross-tenant access to sibling paths

Impact When a filer JWT restricts a token to a set of path prefixes via allowedprefixes, the authorization check used a literal byte-prefix match strings.HasPrefix. A token scoped to /tenant1 therefore also authorized requests to sibling paths such as /tenant1234, /tenant1-old, and /tenant1backup...

EUVD-2026-56159

SeaweedFS: Filer JWT allowedprefixes literal prefix match allows cross-tenant access to sibling paths...

CVE-2026-6355

Augmentt: IDORによるクロステナントアクセス クレジット このCVEは以下の協力者によって作成されました： Raznov – GitHub: https://github.com/basraznov HelloWorld （著者）– GitHub: https://github.com/Penquinsecq 説明...

CVE-2026-23552

CVE-2026-23552 - camel-keycloak におけるクロスレルムトークンの受け入れ 概要 Apache Camel の KeycloakSecurityPolicy は、JWT トークンの iss issuer クレームを設定されたレルムに対して検証しません。つまり、ある Keycloak レルムから発行されたトークンが、まったく別のレルム用に設定されたポリシーによって暗黙に受け入れられ、テナントの分離が壊れます。 影響を受けるバージョン: 4.15.0, 4.16.0, 4.17.0 追跡先:...