vuln-bank-mobile

💳 脆弱な銀行モバイルアプリ Vulnerable Bank は、セキュリティエンジニア、ペネトレーションテスター、モバイルアプリセキュリティ学習者が、安全でないコーディング慣行の実際の悪用を練習し、実証するために構築された、意図的に安全でないモバイルアプリケーションです。 このモバイルアプリは、一般的な銀行機能を備えた、意図的に脆弱なWeb APIである Vulnerable Bank API のフロントエンドとして機能します。 📥 ダウンロードしてすぐに実行（推奨） 🆕 コンパイル済みの .apk をGitHub Releasesから直接ダウンロードできるようになりました。 📦...

Damn-Vulnerable-Bank

Damn Vulnerable Bank ガイド: https://rewanthtammana.com/damn-vulnerable-bank/ アプリケーションについて Damn Vulnerable Bank は、意図的に脆弱性を持たせたAndroidアプリケーションとして設計されています。詳細はすべてガイドこちらに文書化されています。 今後のセッション NoNameCon https://cfp.nonamecon.org/nnc2021/talk/WCKLTN/ Black Hat Europe 未定 機能 サインアップ ログイン マイプロフィール画面 パスワード変更...

CVE-2025-55183

CVE-2025-55183 React Server Functions のソースコード露出脆弱性のスキャナーです。 これは何ですか？ CVE-2025-55183: React 19.0.0-19.2.1 の Server Actions が悪用されると、ハードコードされたシークレット、API キー、データベース認証情報を含む完全なソースコードが露出する可能性があります。 参考: https://github.com/facebook/react/commit/894bc73cb493487c48d57f4508e6278db58e673a...

autonoma

Autonoma Autonoma は、ハードコードされたシークレットを検出し、AST 書き換えを使用してos.environ... 参照に置き換えます。 変更は、書き換えが決定論的で意味を保持している場合にのみ適用されます。 書き換えは、解析された構文木（生テキストに対する正規表現ではない）を使用します。 ローカルで実行され、ネットワーク呼び出しはありません。冪等で最小限の差分で CI でも動作します。 解決する問題 コードベースにハードコードされたシークレット： シークレットがコミットされ、git 履歴に残り続ける 手動での修正はコードを壊すか、エッジケースを見逃す...

CanoP

CanoP CLI 一款快速、独立的静态分析工具，专为检测 AI 编码助手引入的漏洞而设计。CanoP 在本地分析你的代码库，以识别 AI 生成代码中的安全风险。 功能特性 高信噪比 ：传统扫描器会产生大量告警。CanoP 专门针对现代 AI 失效模式（如 SQL 注入、不安全反射和硬编码密钥）进行了调优，确保你看到的告警都是可操作且高优先级的。 多语言支持 ：开箱即用地支持 Python、JavaScript、TypeScript、Java、Go、Ruby 和 PHP 的分析，让你用单一工具即可保护全栈应用的安全。 CI/CD 就绪...

GitLeaks

GitLeaks GitLab CI コンポーネント Gitleaks 用の GitLab CI コンポーネント - パスワード、API キー、トークンといったハードコードされた秘密情報を git リポジトリで検出・防止する SAST ツールです。 機能 シークレット検出 : リポジトリをスキャンし、ハードコードされた秘密情報や機密情報を検出します。 包括的なルール : さまざまな種類の秘密情報を検出するための豊富なビルトインルール カスタム設定 : ローカルおよびリモート設定ファイルのサポート 複数の出力形式 : JSON、SARIF、その他のレポート形式をサポート 柔軟な引数 :...

credactor v2.7.2

Credactor Find the secret. Fix it. Commit clean. Secret scanners are good at sounding the alarm and not much help putting it out. They hand you a list of leaked credentials and leave the cleanup to you. Credactor closes the loop: it finds a hardcoded secret and rewrites it in place, so a leak goe...

PYSEC-2026-3768

opensslencrypt versions before 1.4.0 contain hardcoded default JWT signing secrets in config.py that pass validation checks. Attackers with access to source code can forge valid JWT tokens for any clientid to gain authenticated access to keyserver and telemetry APIs...

CVE-2026-74893

opensslencrypt versions before 1.4.0 contain hardcoded default JWT signing secrets in config.py that pass validation checks. Attackers with access to source code can forge valid JWT tokens for any clientid to gain authenticated access to keyserver and telemetry APIs...

PYSEC-2026-3768

opensslencrypt versions before 1.4.0 contain hardcoded default JWT signing secrets in config.py that pass validation checks. Attackers with access to source code can forge valid JWT tokens for any clientid to gain authenticated access to keyserver and telemetry APIs...

CVE-2026-74893 openssl_encrypt before 1.4.0 JWT Token Forgery via Hardcoded Secrets

opensslencrypt versions before 1.4.0 contain hardcoded default JWT signing secrets in config.py that pass validation checks. Attackers with access to source code can forge valid JWT tokens for any clientid to gain authenticated access to keyserver and telemetry APIs...

CVE-2026-74893 openssl_encrypt before 1.4.0 JWT Token Forgery via Hardcoded Secrets

opensslencrypt versions before 1.4.0 contain hardcoded default JWT signing secrets in config.py that pass validation checks. Attackers with access to source code can forge valid JWT tokens for any clientid to gain authenticated access to keyserver and telemetry APIs...

CVE-2026-74893

openssl_encrypt (PyPI package) versions before 1.4.0 hardcode default JWT signing secrets in config.py that bypass validation checks. Anyone with source-code access can forge valid JWT tokens for any client_id, gaining authenticated access to keyserver and telemetry APIs. CVSS 3.1 score is 8.8 (H...

PT-2026-76629

openssl encrypt versions before 1.4.0 contain hardcoded default JWT signing secrets in config.py that pass validation checks. Attackers with access to source code can forge valid JWT tokens for any client id to gain authenticated access to keyserver and telemetry APIs...

CVE-2026-64887 Airwall - Hardcoded Secrets

Use of hard-coded cryptographic key vulnerability in Johnson Controls Airwall allows : Cryptanalytic Attack. This issue affects Airwall: before 4.1...

CVE-2026-56271

Flowise before 3.1.0 affected versions 3.0.13 and earlier uses weak hardcoded default JWT secrets 'authtoken', 'refreshtoken' and default audience and issuer values 'AUDIENCE', 'ISSUER' in the enterprise passport authentication middleware packages/server/src/enterprise/middleware/passport/index.t...

CVE-2026-33362

In Meari IoT SDK builds embedded in CloudEdge 5.5.0 build 220, Arenti 1.8.1 build 220, and white-label Android apps = 1.8.x latest observed, multiple security-critical secrets are hardcoded and shared, including API signing material, password-transport keying, and service access keys...

CVE-2026-33362

In Meari IoT SDK builds embedded in CloudEdge 5.5.0 build 220, Arenti 1.8.1 build 220, and white-label Android apps = 1.8.x latest observed, multiple security-critical secrets are hardcoded and shared, including API signing material, password-transport keying, and service access keys...

PT-2026-39644

In Meari IoT SDK builds embedded in CloudEdge 5.5.0 build 220, Arenti 1.8.1 build 220, and white-label Android apps = 1.8.x latest observed, multiple security-critical secrets are hardcoded and shared, including API signing material, password-transport keying, and service access keys...

VibeGuard: A Security Gate Framework for AI-Generated Code

"Vibe coding," in which developers delegate code generation to AI assistants and accept the output with little manual review, has gained rapid adoption in production settings. On March 31, 2026, Anthropic's Claude Code CLI shipped a 59.8 MB source map file in its npm package, exposing roughly...