CVE-2026-68489

A flaw was found in Plesk extensions Ruby and Node.js Toolkit. This static code injection vulnerability allows remote authenticated users to execute arbitrary code as root. The flaw is triggered by manipulating custom environment variables, leading to a complete compromise of the affected system...

CVE-2026-68489

Static Code Injection in Plesk extensions "Ruby" before 1.6.6 and "Node.js Toolkit" before 2.5.0 allows remote authenticated users to execute arbitrary code as root via custom environment variables...

CVE-2026-68489

CVE-2026-68489 is a Static Code Injection vulnerability in two Plesk extensions: Ruby (before 1.6.6) and Node.js Toolkit (before 2.5.0). A remote authenticated user can execute arbitrary code as root by crafting malicious custom environment variables . The vulnerability scores 8.7 (HIGH) under CV...

EUVD-2026-78137

Static Code Injection in Plesk extensions "Ruby" before 1.6.6 and "Node.js Toolkit" before 2.5.0 allows remote authenticated users to execute arbitrary code as root via custom environment variables...

CVE-2026-68489

Static Code Injection in Plesk extensions "Ruby" before 1.6.6 and "Node.js Toolkit" before 2.5.0 allows remote authenticated users to execute arbitrary code as root via custom environment variables...

unicorn

Unicorn Engine LOOKING FOR CONTRIBUTORS! See this. Unicorn is a lightweight, multi-platform, multi-architecture CPU emulator framework, based on QEMU. Unicorn offers some unparalleled features: Multi-architecture: ARM, ARM64 ARMv8, M68K, MIPS, PowerPC, RISCV, SPARC, S390X, TriCore and X86 16, 32,...

httpstat

httpstat httpstat visualizes curl1 statistics in a way of beauty and clarity. It is a single file🌟 Python script that has no dependency👏 and is compatible with Python 3🍻. Features Beautiful terminal output — timing breakdown of DNS, TCP, TLS, server processing, and content transfer Structured JSO...

envy

快速开始 • 配置 • 命令 • 键绑定 • 常见问题 • 文档 一个安全的加密保险库，用于管理 API 密钥、机密和环境变量。专为终端开发人员打造。 Envy 是什么？ 我构建 Envy 是因为厌倦了处理 .env 文件，以及让机密散落在密码管理器、便利贴和 Slack 会话中。它是一个单一二进制文件，既提供用于浏览机密的流畅 TUI，也提供用于自动化的 CLI。 以下是它的功能： 真正的加密 — 采用 AES-256-GCM 与 Argon2id，而非仅仅是 base64 混淆 快速访问 — 模糊搜索可在毫秒级内找到机密 按项目组织 — 将相关机密分组在一起 多环境支持 —...

CVE-2014-6271

Shellshock 漏洞利用 CVE-2014-6271 Shellshock 实际上是一个存在于 BASH 中的远程命令执行漏洞。该脚本利用启用了 modcgi 的 Apache 或类似 Web 环境中的漏洞。漏洞的核心在于对环境变量的操控，环境变量是影响计算机上进程运行的动态命名值。攻击者可通过将恶意代码附加到环境变量中来利用此漏洞，这些代码会在收到变量时被执行。这使攻击者有可能破坏系统。 漏洞测试实验环境 PentesterLab VulnHub TryHackMe 查找 CGI-BIN 页面： root@kitploit: $ nmap 192.168.x.x...

prowler

Prowler is the Open Cloud Security Platform trusted by thousands to automate security and compliance in any cloud environment. With thousands of ready-to-use checks and compliance frameworks, Prowler delivers real-time, customizable monitoring and seamless integrations, making cloud security...

lazyrecon

root@kitploit: | | | |/ | /| | | | / / |/ | \ | | | / / | | | | | | / | | | ||\ |/ \ || ||/|| |v2 |/ Lazyrecon v2 is a subdomain discovery tool that finds and resolves valid subdomains then performs SSRF/LFI/SQLi fuzzing, brute-force and port scanning. It has a simple modular architecture and...

ForgottenButNotGone

Olvidados pero no desaparecidos Este repositorio contiene scripts de prueba de concepto para las vulnerabilidades presentadas en la charla "Olvidados pero no desaparecidos: RCE no autenticados y LPE en servicios Linux heredados" de Black Hat USA 2026 y DEF CON 34. CVE-2026-28372 Escalada de...

Astra Linux – Vulnerability in Apache2

Improper neutralization of vulnerabilities related to escape, meta, or control sequences in the Apache HTTP Server, caused by unexpected overrides of variables calculated by the server for CGI programs, through environment variables set via Apache configuration. This issue affects the Apache HTTP...

vercel-april2026-incident-response

Guía de Respuesta al Incidente de Vercel Abril 2026 Última actualización: 20 de abril de 2026 a las 12:07 p. m. AEST/Brisbane - v2 — incorpora la actualización del CEO de Vercel del 20 de abril IMPORTANTE: Esto no es asesoramiento legal ni oficial. Si crees que has sido comprometido, comunícate c...

dotenv-diff

dotenv-diff 扫描你的代码库，检测每一个环境变量引用。它可以帮助你在变量引发运行时错误之前，及早发现缺失、未使用、重复和误用的变量。 对 SvelteKit、Next.js 和 Nuxt 提供一流支持。同样适用于现代 JavaScript/TypeScript 项目以及 Node.js 和 Vue 等框架——或任何其他需要可靠 .env 文件比较的场景。 ✨ 收录于awesome-cli-apps - 精选的 CLI 应用列表 为什么选择 dotenv-diff？ 确保所有必需的环境变量都已定义 捕获缺失或配置错误的变量 通过保持团队对必需变量的一致性认识来改善协作...

CVE-2014-6271

CVE-2014-6271 描述 本项目旨在重现漏洞 CVE-2014-6271 ，也称为 Shellshock 。Shellshock 是 Bash 中的一个安全漏洞，允许通过环境变量执行恶意代码。 本项目的目的是演示此漏洞对 Docker 环境的影响。 前提条件 开始之前，请确保您的计算机上已安装 Docker。您可以在 此处 下载 Docker。 安装与启动 1. 构建 Docker 镜像 在项目目录中，执行以下命令构建 Docker 镜像： root@kitploit: docker build -t 'image name' . 将 'image name' 替换为您想要给...

CVE-2023-28432

CVE-2023-28432 MinIO存在信息泄露漏洞，未经身份认证的远程攻击者通过发送特殊HTTP请求即可获取所有环境变量，其中包括MINIOSECRETKEY和MINIOROOTPASSWORD，造成敏感信息泄露，最终可能导致攻击者以管理员身份登录MinIO Fofa指纹 app="minio" 工具利用 python3 minio.py -u http://127.0.0.1:1111 单个url测试 python3 minio.py -f url.txt 批量检测 扫描结束后会在当前目录生成存在漏洞url的vuln.txt exp： 免责声明...

pytm

pytm: A Pythonic framework for threat modeling Introduction Traditional threat modeling too often comes late to the party, or sometimes not at all. In addition, creating manual data flows and reports can be extremely time-consuming. The goal of pytm is to shift threat modeling to the left, making...

CVE-2023-36845

CVE-2023-36845 Juniper Networks Junos OS（EX系列和SRX系列）的J-Web中存在一个PHP外部变量修改漏洞，允许未经身份验证的基于网络的攻击者控制某些环境变量。 脚本使用 root@kitploit: $ dos2unix CVE-2023-36845.sh $ CVE-2023-36845.sh example.com...

Shellshock_CVE-2014-6271

Shellshock CVE-2014-6271 Shellshock 请下载 docker-compose.yml 和 poc.py 文件 务必通过 pip install requests 安装 requests 库!!! 使用 uv 的用户请通过 uv 将 requests 库放入 venv 中!!! CVE 官方描述 --- GNU Bash 4.3 之前版本在环境变量值中处理函数定义后跟的字符串时存在问题。利用此漏洞，远程攻击者可以通过精心构造的环境执行任意代码。该漏洞在 OpenSSH sshd 的 ForceCommand 功能、Apache HTTP 服务器的 modcg...