CVE-2019-10008

CVE-2019-10008 ManageEngine Service Desk Plus 9.3 권한 계정 하이재킹 날짜: 30-03-2019 익스플로잇 작성자: Ata Hakçıl, Melih Kaan Yıldız 공급업체: ManageEngine 공급업체 홈페이지:www.manageengine.com 제품: Service Desk Plus 버전: 10.0 테스트 환경: Windows 10 64비트 CVE : 2019-10008 완전한 PoC는 공급업체 패치 후에 다시 공개됩니다. 추가 정보:...

CVE-2023-22894

인증되지 않은 Strapi 익스플로잇: CVE-2023-22894 이 저장소는 CVE-2023-22894에 대한 개념 증명PoC 익스플로잇을 포함하고 있으며, 인증되지 않은 사용자가 Strapi의 필터링 기능을 악용하여 비공개 필드에서 민감한 정보를 유출하고 Strapi 관리자 계정을 탈취할 수 있도록 합니다. 개요 이 익스플로잇은 Strapi 버전 -e -d 3. dump-authless.py 스크립트를 실행하는 데 필요한 인수는 다음과 같습니다: -u 또는 --url: 취약한 Strapi 인스턴스의 대상 URL. -e 또는...

XSSight

경고: 이 페이지는 교육 목적으로만 제공됩니다. 이를 사용하는 사용자의 모든 악의적인 목적은 법 규정에 따라 처벌됩니다! XSSight 크로스 사이트 스크립팅 XSS 크로스 사이트 스크립팅XSS은 공격자가 제공한 코드를 사용자의 브라우저 인스턴스에 반영시키는 공격 기술입니다. 브라우저 인스턴스는 표준 웹 브라우저 클라이언트이거나 WinAmp, RSS 리더, 이메일 클라이언트와 같은 소프트웨어 제품에 내장된 브라우저 객체일 수 있습니다. 코드 자체는 일반적으로 HTML/JavaScript로 작성되지만, VBScript,...

CVE-2025-51863

CVE-2025-51863 취약점 설명 ChatGPTUtil은 ChatGPT와 AI 이미지 생성기에 모두 접근할 수 있는 AI 기반 챗봇 어시스턴트입니다. 채팅 컴포넌트에 Self-XSS자가 교차 사이트 스크립팅 취약점이 존재합니다. 이는 쿠키 탈취로 이어져 원격 계정 하이재킹을 초래할 수 있습니다. 공격 벡터 공격 벡터는 네트워크입니다. 이 XSS 취약점을 악용하려면 공격자가 악성 페이로드예: SVG XSS 페이로드를 제작하여 피해자에게 전달해야 합니다예: 이메일, 악성 웹사이트, 포럼 게시글 또는 인스턴트 메시지. 공격은...

EUVD-2026-92100

ZITADEL 3.0.0 through 3.4.15 and 4.0.0 before 4.17.3 creates links between user accounts and external identity providers without verifying a primary factor or the caller's permission, including on identify-only Login V2 sessions and via the User Service V2 AddIDPLink endpoint. An unauthenticated...

CVE-2025-3604

🚨 Flynax Bridge CVE : CVE-2025-3604 CVSS : 9.8 심각 게시일 : 2025년 4월 23일 마지막 업데이트 : 2025년 4월 24일 ⚙️ 스크립트 출력 예제 Detected plugin version: 2.2.0 Version is vulnerable. Attempting exploit... Exploit succeeded! Email changed to: [email protected] Exploit By Nxploited Khaledalenazi |...

immich-exfiltration-demo

사이버보안 데모: Immich 데이터 유출 CVE-2026-35455 CVE-2026-35455에 대한 개념 증명 사이버보안 데모로, 자동화된 API 키 생성 및 데이터 유출을 시연하여 전체 계정 하이재킹 및 지속적인 무단 접근으로 이어집니다. 더 알아보기: 보고서, 비디오...

CVE-2026-101042

Parse Server is an open-source backend server. In versions = 9.0.0 = 8.0.2 8.6.91, the code-based authentication adapters GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo verify the client's authorization code with the external provider on signup and on...

CVE-2026-101042

The Parse Server backend server (versions >= 9.0.0 = 8.0.2

EUVD-2026-87968

Parse Server is an open-source backend server. In versions = 9.0.0 = 8.0.2 8.6.91, the code-based authentication adapters GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo verify the client's authorization code with the external provider on signup and on...

CVE-2026-101042 Parse Server 9.0.0 Authentication Bypass via Unverified Provider Identity

Parse Server is an open-source backend server. In versions = 9.0.0 = 8.0.2 8.6.91, the code-based authentication adapters GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo verify the client's authorization code with the external provider on signup and on...

CVE-2026-101042: Improper Authentication

Parse Server is an open-source backend server. In versions = 9.0.0 = 8.0.2 8.6.91, the code-based authentication adapters GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo verify the client's authorization code with the external provider on signup and on...

CVE-2026-97063

X-SpringBoot through 6.0 returns login verification codes in HTTP responses from unauthenticated endpoints GET /sys/mobile/code and GET /sys/email/code without sending them to account owners. Attackers can request codes using known mobile numbers or email addresses, read them from responses, and...

CVE-2026-97063

The X-SpringBoot framework, versions through 6.0 , is vulnerable to an authentication bypass due to the exposure of login verification codes. The application returns these codes directly in HTTP responses from unauthenticated endpoints, specifically GET /sys/mobile/code and GET /sys/email/code , ...

CVE-2026-86553: Improper Privilege Management

SmartLife app dynamically generates fresh SmartLife application authentication parameters inside its runtime process. Using the acquired SmartLife application authentication parameters, an attacker can directly call the backend interface /account/verify.serv to obtain the real account ID...

CVE-2026-92984

HUBzero CMS through 2.2.32 accepts session identifiers from query strings and request variables instead of cookies alone, allowing unauthenticated attackers to fixate victim sessions. Attackers can obtain a valid session identifier, send victims a crafted link containing it, and replay the...

CVE-2026-92984 HUBzero CMS through 2.2.32 Session Fixation via Query-String Session Identifier

HUBzero CMS through 2.2.32 accepts session identifiers from query strings and request variables instead of cookies alone, allowing unauthenticated attackers to fixate victim sessions. Attackers can obtain a valid session identifier, send victims a crafted link containing it, and replay the...

Attackers Use Passkey Phishing to Hijack Microsoft Cloud Accounts and Exfiltrate Data

Microsoft has disclosed details of two campaigns in which threat actors are abusing third-party email delivery infrastructure to blast financial fraud scam messages and using passkey-themed social engineering to breach cloud environments. The first campaign, per the tech giant, involved sending...

Exploit for CVE-2024-36058

CVE-2024-36058 — Koha Library Software CVE ID: CVE-2024-3...

CVE-2026-71403 Rancher: Identity-field mutation in /v3/users allows account hijack via principal rebind

A flaw was found in Rancher Manager. The /v3/users update path did not enforce immutability of a User resource's username and principalIds fields. A user holding the update verb on users.management.cattle.io could inject a foreign identity provider principal into any account, so that the next log...