CVE-2025-39601

🚨 CVE-2025-39601 - WordPress Custom CSS, JS & PHP プラグイン WordPress Custom CSS, JS & PHP plugin CSRF PoC - WordPress Custom CSS, JS & PHP plugin By : Nxploited | Khaled Alenazi input type="hidden" name="algcustomcss...

CVE-2026-104844

A flaw was found in postcss-selector-parser. A remote attacker could exploit this vulnerability by submitting a specially crafted CSS selector containing numerous class or ID identifiers to an application that parses untrusted input. Due to inefficient processing and repeated scanning during...

css-the-bomb-inside-your-inbox

CSS：你收件箱里的炸弹 欢迎访问本仓库。本仓库包含我演讲“CSS：你收件箱里的炸弹”的全部材料。 本仓库包含仅为合法的安全研究、分析和防御性测试之目的而识别、开发或收集的概念验证代码、测试用例及辅助材料。 你可以通过以下链接阅读相关研究： 研究论文 目录 PoC CSS 热接线 通过粘贴窃取令牌 在 CSP 阻止外部资源时窃取文本节点 纯 HTML 键盘记录器 通过电子邮件进行提示注入 Outlook 篡改 Outlook Firefox 键盘记录器 Outlook 标签劫持 Outlook 净化键盘记录器 Chrome 实时键盘记录器 工具 Shazzer Hackvertor 概念...

CVE-2019-0708

CVE-2019-0708 CVE-2019-0708 cssxn この人の汚い口を覚えておけ はい、昨日は冗談でした。楽しんでください...

Roundcube-CVE-2024-42008-and-CVE-2024-42010-POC

Proof of Concept: CVE-2024-42008 and CVE-2024-42010 この概念実証（PoC）は、CSSインジェクションとクロスサイトスクリプティング（XSS）を可能にする、Roundcube Webmail の2つの脆弱性の悪用を実証します。攻撃は2つの段階で構成されます: 1. 悪意のあるXML添付ファイルによるXSS（CVE-2024-42008） ファイルアップロードのチェックが不十分なため、JavaScriptコードを含むXMLファイルを添付ファイルとして送信できます。例: " alertorigin...

CSS-Keylogging

CSS キーロガー CSSのキーロギング機能を利用するChrome拡張機能とExpressサーバー。 使用方法 Chrome拡張機能のセットアップ 1. リポジトリをダウンロード git clone https://github.com/maxchehab/CSS-Keylogging 2. ブラウザで chrome://extensions にアクセスします（または、Omniboxの右端にあるアイコンをクリックしてChromeメニューを開きます。メニューのアイコンは3本の横線です。そして、「その他のツール」メニューの「拡張機能」を選択して同じ場所に移動します）。 3...

CVE-2023-49103

CVE-2023-49103 CVE-2023-49103 的 PoC 概述 该 Python 脚本旨在高效处理大量 URL，以检查是否存在 phpinfo 输出。它使用多线程并发处理大量 URL，显著加速流程。脚本还具有实时进度条，可直观跟踪进度。 要触发漏洞，仅访问 phpinfo URL 是不够的：还需要绕过 .htaccess（感谢 rapid7 的洞察）。在本例中，可通过在 URL 后添加 /.css 来实现。 要求 Python 3.x requests urllib3 colorama alive-progress concurrent.futures（Python 3...

PasteJacker

PasteJacker このツールの主な目的は、PasteJacking/クリップボードポイズニング/などと呼ばれる攻撃を自動化し、この攻撃で使われる既知のトリックをすべて1か所に集め、1つの自動化されたジョブで実行することです。調べたところ、この仕事を正しく行うツールが存在しなかったからです 😄 さて、この攻撃はユーザーが何を貼り付けるかに依存するため、Metasploitのweb-deliveryモジュールのアイデアをツールに実装しました。ユーザーがターミナルに貼り付けると、あなたはそのデバイス上でmeterpreterセッションを取得できます 😄 YouTubeでチュートリアルを見...

CVE-2026-42897

CVE-2026-42897 - Exchange Health Checker アウトバウンド書き換えルールの盲点 深刻度: Medium CVSS 5.3 コンポーネント: Microsoft CSS-Exchange - HealthChecker 診断ツール 影響を受けるファイル: Diagnostics/HealthChecker/Analyzer/Get-URLRewriteRule.ps1 L49, L72, L97 Diagnostics/HealthChecker/Analyzer/Invoke-AnalyzerIISInformation.ps1 L442–459...

CVE-2026-1661

The WP Mail Logging WordPress plugin before 1.17.0 does not properly restrict the HTML and CSS of logged emails before rendering them in its admin log screens, allowing unauthenticated users to inject styled content and links, for example through a public contact form, that can deceive an...

CVE-2026-1661

The WP Mail Logging WordPress plugin, in versions prior to 1.17.0 , is vulnerable to HTML injection because it fails to properly restrict the HTML and CSS of logged emails before rendering them in admin log screens. This allows unauthenticated users to inject styled content and links—for instance...

VUL4J-59

jsoup: 現実のHTMLスープを解析するJava HTMLパーサー jsoupは、現実のHTMLを扱うためのJavaライブラリです。DOM、CSS、jQueryのようなメソッドの利点を活かし、データの抽出や操作を行うための非常に便利なAPIを提供します。 jsoupはWHATWG HTML5仕様（http://whatwg.org/html）を実装しており、最新のブラウザと同じDOMにHTMLを解析します。 URL、ファイル、または文字列からHTMLを解析 DOMトラバーサルまたはCSSセレクタを使用してデータを検索・抽出 HTML要素、属性、テキストを操作...

hackazon

Hackazon Hackazon is a free, vulnerable test site that is an online storefront built with the same technologies used in today’s rich client and mobile applications. Hackazon has an AJAX interface, strict workflows and RESTful API’s used by a companion mobile app providing uniquely-effective...

tagDiv Composer < 4.2 - Stored Cross-Site Scripting

tagDiv Composer plugin versions before 4.2 for WordPress are vulnerable to unauthenticated stored XSS via the /wp-json/tdw/savecss endpoint. An attacker can inject malicious JavaScript code through the compiledcss parameter, which gets stored and executed when the CSS is loaded. id: CVE-2023-3169...

FlipperCode Custom CSS, JS & PHP <= 2.0.7 - Remote Code Execution

Custom css-js-php WordPress plugin through 2.0.7 contains a command injection caused by unsanitized user input used in SQL query and passed to eval, letting unauthenticated attackers execute arbitrary PHP code on the server. id: CVE-2026-6433 info: name: FlipperCode Custom CSS, JS & PHP = 2.0.7 -...

mTheme Unus < 2.3 - Directory Traversal

The mTheme-Unus theme for WordPress, prior to version 2.3, contained a directory traversal flaw that let attackers access arbitrary files. This was possible by exploiting the files parameter in css/css.php with .. sequences. id: CVE-2015-9406 info: name: mTheme Unus 2.3 - Directory Traversal...

decoder-plus-plus

Decoder++ Decoder++ is an extensible application designed for penetration testers, software developers, and anyone in between looking to effortlessly decode and encode data across various formats. It includes a wide range of preinstalled scripts and codecs, smart decoding and format identificatio...

PT-2026-104103

The WP Mail Logging WordPress plugin before 1.17.0 does not properly restrict the HTML and CSS of logged emails before rendering them in its admin log screens, allowing unauthenticated users to inject styled content and links, for example through a public contact form, that can deceive an...

CVE-2022-28368

CVE-2022-28368 - Dompdf RCE Exploit PoC de Dompdf RCE alt text ExploitDB Las versiones de Dompdf 1.2.1 son vulnerables a Ejecución Remota de Código RCE mediante la inyección de CSS en los datos. Se puede engañar al archivo para que almacene una fuente maliciosa con extensión .php en su caché de...

unredacter

Unredacter ピクセル化を墨消し技術として絶対に絶対に絶対に使ってはいけない理由を示します。この仕組みのより詳しい解説は、こちらのブログ記事をご覧ください。 試してみる方法 依存関係をインストールします： npm install その後、以下で起動します： npm start これだけです。 自分のピクセル化画像を解読する方法 これは少し手動で、まったく効率化されていません。その理由はおわかりいただけると思います。このプロセスをアプリ内でもっと使いやすくしてみたいという方がいれば、大歓迎です。私が何に見えますか？ Electron開発者にでも？ まあとにかく、手順は次のとおりです...