CVE-2025-12028

1 Iniciar um servidor HTTP simples para hospedar a página de prova de conceito root@kitploit: mkdir -p /tmp/attacker && cd /tmp/attacker php -S 127.0.0.1:8000 2 Criar um arquivo /tmp/attacker/poc.html com o seguinte conteúdo root@kitploit: document.getElementById'x'.submit;...

CVE-2024-56924

CVE-2024-56924 Beschreibung der Sicherheitslücke Im Code astro Internet Banking System Version 2.0.0 besteht eine Cross-Site-Request-Forgery CSRF-Sicherheitslücke, die es entfernten Angreifern ermöglicht, ohne Wissen des authentifizierten Benutzers z. B. eines Administrators nicht autorisierte...

CVE-2025-25062

CVE-2025-25062 Beschreibung Verwendung Beispiel Zeitleiste Beschreibung Im Backdrop CMS 1.29.2 besteht auf der Beitragsbearbeitungsseite eine Schwachstelle für gespeichertes Cross-Site-Scripting XSS. Dieses Skript verkettet die Schwachstelle mit einem CSRF-Payload, um eine Privilegienausweitung v...

refreshing-soap-exploit

Questa è una prova di concetto per CVE-2022-41622, una CSRF in F5 Big-IP che porta all'esecuzione remota di codice. Usarlo è un po' delicato, ma ti guiderò attraverso i miei casi d'uso preferiti. La vulnerabilità La vulnerabilità principale è una cross-site request forgery nell'interfaccia SOAP d...

CVE-2019-9202

CVE-2019-9202 Nagios IM 2.6 Exploit zur Remote-Code-Ausführung: CSRF + SQLi + RCE + LPE -- Remote-Root Beschreibung Durch die Verkettung einer Cross-Site-Request-Forgery CSRF / Autorisierungsumgehung CVE-2019-9203 ist es möglich, eine Union-basierte SQL-Injection CVE-2019-9204, eine...

CVE-2023-45992

CVE-2023-45992 Una vulnerabilità in Ruckus CloudPath 5.12 build 5538 o precedenti potrebbe consentire a un attaccante remoto non autenticato di ottenere privilegi di amministratore completo sfruttando una vulnerabilità di Cross-Site Scripting persistente e Cross-Site Request Forgery utilizzando u...

sudowp-clickfunnels-zurich

SudoWP Zurich für ClickFunnels Mitwirkende: SudoWP, WP Republic Ursprüngliche Autoren: Etison, LLC Schlagwörter: clickfunnels, security-patch, legacy, landing pages, funnels, sudowp Erfordert mindestens: 4.3 Getestet bis: 6.7 Stabile Version: 0.1.1 Lizenz: GPLv2 oder später Sicherheitshinweis Die...

CVE-2022-24342

CVE-2022-24342 JetBrains TeamCity - استيلاء على الحساب عبر CSRF في مصادقة GitHub PoC CVE-2022-24342 المتطلبات الاستخدام كيف يعمل؟ GitHub OAuth2: ترتيب معالجة معاملات الاستعلام CVE-2022-24342: تدفق طلبات HTTP المتطلبات JetBrains TeamCity إذا قمت بتشغيل الأداة على جهازك المحلي، قد تحتاج إلى استخدام...

CVE-2026-70376

CVE-2026-70376 — CSRF a livello di sito in Pluck CMS → RCE Controllo Referer fail-open + assenza di token CSRF + upload a doppia estensione Una singola visita di una pagina da parte di un admin elimina contenuti, inietta pagine e rilascia una webshell...

batchql

BatchQL BatchQL is a GraphQL security auditing script with a focus on performing batch GraphQL queries and mutations. This script is not complex, and we welcome improvements. When exploring the problem space of GraphQL batching attacks, we found that there were a few blog posts on the internet,...

batchql

BatchQL BatchQL ist ein GraphQL-Sicherheitsaudit-Skript mit Fokus auf die Durchführung von Batch-GraphQL-Abfragen und -Mutationen. Dieses Skript ist nicht komplex, und wir freuen uns über Verbesserungen. Bei der Erkundung des Problembereichs von GraphQL-Batching-Angriffen stellten wir fest, dass ...

CVE-2026-73423

A flaw was found in Astro. The composable astro/hono pipeline can bypass origin checks, which are designed to prevent unauthorized cross-site requests. This occurs because the security.checkOrigin mechanism is not consistently applied when middleware is absent or misordered in the pipeline. A...

CVE-2026-55532

PraisonAI is a multi-agent teams system. Prior to version 4.6.58 , the MCP HTTP Stream _validate_origin function uses request_origin.startswith(allowed), which allows an attacker-controlled origin such as localhost.attacker.com to satisfy a localhost allowlist entry. This enables an unauthenticat...

CVE-2026-55532 PraisonAI: Origin-validation bypass (startswith prefix match) enables unauthenticated cross-site request forgery against the PraisonAI MCP HTTP server

PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.58, MCP HTTP Stream validateorigin uses requestorigin.startswithallowed, allowing the attacker-controlled localhost.attacker.com HTTP origin to satisfy the localhost allowlist. A webpage can send Content-Type: text/plain requests...

CVE-2023-47014-Sticky-Notes-App-Using-PHP-with-Source-Code-v1.0-CSRF-to-CORS

CVE-2023-47014-Sticky-Notes-App-Using-PHP-with-Source-Code-v1.0-CSRF-to-CORS Autore dell'exploit: emirhanerdogu Homepage del fornitore https://www.sourcecodester.com/php/16928/sticky-notes-app-using-php-source-code.html Link del software...

moodle-login-csrf

Questo repository contiene i file utilizzati per scoprire e sfruttare due bug di moodle, MSA-18-0020 CVE-2018-16854 e MSA-19-0004 CVE-2019-3847, che sfruttano la capacità degli utenti di aggiungere JavaScript ai propri dashboard. MSA-18-0020 si basa su CSRF nel modulo di login, mentre MSA-19-0004...

CSRFER

CSRFER root@kitploit: / / | \ | | \ | / /\ --.| |/ / | | | | |/ / | | --. \ /| | | || / | /// / |\ | | | || |\ \ //| \| /| | -.--. " '-, ',' 2 \ \q \ . \ .--' '----. / . . \ .'.' \ .-.\ '-, ,/ .---;- . \ \ .\ // '-. \ \ | '. , '-. c=' Cooo -. '-. '. '-. \ snd '-. '. '-. \ ---' CSRFER...

ninjasworkout

Damn Vulnerable NodeJS Application Quick Start root@kitploit: Download the Repo = run npm i Afer Installing all dependency just run the application root@kitploit: node app.js or nodemon app.js ADDED BUGS Prototype Pollution ✅1 No SQL Injection ✅2 Cross site Scripting ✅3 Broken Access Control ✅4...

cve-2016-4845_csrf

cve-2016-4845csrf Proof of concept für CSRF-Sicherheitslücke CVE-2016-4825 auf IO-DATA Recording Festplattenlaufwerk. Lizenz Diese Codes werden unter der MIT-Lizenz veröffentlicht. Bitte siehe LICENSE.txt...

CVE-2019-19652

CVE-2019-19652 Attacco di downgrade a Chevereto - 1.0.0 - 1.1.4 Free, = 3.13.5 Core. Un utente admin può istruire lo script di aggiornamento per effettuare un downgrade a un'altra versione invece di un upgrade, reintroducendo vulnerabilità precedenti. A causa della mancanza di un token CSRF, ques...