vulnhawk

AI を活用したコードセキュリティスキャナー。Semgrep や CodeQL が見逃す脆弱性を発見します。 クイックスタート • GitHub Action • 比較 • 対応言語 • FAQ 問題点 従来の SAST ツールはパターンマッチングと AST ルールに依存しています。既知の脆弱性パターンの検出には優れていますが、意図 を推論することは基本的にできません。 API に 20 のエンドポイントがあり、そのうち 19 がリソース操作前に認可を確認している場合、Semgrep はその確認を行っていない 1...

deep-C

Deep-C Deep-C は、Androidディープリンク悪用フレームワーク です。APKを自動的に逆コンパイルし、露出した安全でないディープリンクのエントリポイントを特定し、静的解析とオプションのAI検証 を使用して悪用可能性を検証し、実行可能なadb Proof-of-Concepts PoCsを生成します。 Deep-Cは、モバイルアプリケーションペネトレーションテスト 、レッドチーム評価 、Androidセキュリティ研究 のために設計されており、ノイズの多い発見ではなく現実世界での悪用可能性 に重点を置いています。 WebdeepC -（Web版） CLI ✨ 機能 📦 APK...

xiaomi-cve-2024-45352

xiaomi-cve-2024-45352 Xiaomiの重大な脆弱性に関する技術レポート 脆弱性の概要 Xiaomiのデフォルトブラウザ（com.android.browser）において、複数のMIUIデバイスで脆弱性が発見されました。このアプリはstartActivityを介して渡されるインテントを適切に検証しないため、悪意のあるアプリが任意のURLを開いたり、意図しないアクションを実行したりすることが可能です。 CVE ID : CVE-2024-45352 コンポーネント :com.android.browser 重要度 : Medium ステータス :...

CVE-2021-25374_Samsung-Account-Access

CVE-2021-25374 - Samsung アカウントアクセススクリプト このスクリプトは、Samsung デバイスに特定のバージョンの Samsung Members がインストールされており、被害者のデバイスが米国または韓国地域のものである場合に、被害者の Samsung アカウントにアクセスするために使用できます。 このスクリプトの使い方: 1. Web サーバーをホストし、以下のリンクを含む Web ページを配信します。...

CVE-2023-31014_Lab

CVE-2023-31014 隐式 Intent 劫持实验 这是一个基于 NVIDIA GeForce NOW for Android 的 CVE-2023-31014 公开报告制作的教育用 Android 实验。不包含 NVIDIA 源代码、真实的 Action 字符串、真实的身份验证信息。 公开报告中确认的事实 目标：NVIDIA GeForce NOW Android 移动版/TV 应用 受影响版本：6.00.32705137 6.04.33108832 修复版本：6.05.33200069 分类：CWE-927，在敏感通信中使用隐式 Intent 脆弱结构：Game Launch...

CVE-2020-23349_Lab

CVE-2020-23349 Android 实验 这是一个在本地复现新浪微博 Android SDK 4.2.7 中 Intent 重定向漏洞的教学项目。 请仅在获得授权的测试设备或模拟器上使用。请勿将其用于针对真实用户应用。 构成 victim: 包含实际 openDefault-4.2.7.aar 的漏洞应用 attacker: 调用 exported WbShareTransActivity 的攻击应用 victim/.../PrivateActivity: android:exported="false" 的复现目标 漏洞流程如下： Attacker 앱 - exported...

BadIntent

BadIntent はじめに BadIntentは、Burp...

PT-2026-104140

The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Insecure Direct Object Reference in versions up to, and including, 5.7.1 via the OsPaypalConnectController::create order for transaction action registered as a public...

WordPress Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin <= 5.7.1 - Insecure Direct Object Reference to Unauthenticated Unauthorized Transaction Intent Creation/Modification and Invoice Enumeration vulnerability

Insecure Direct Object Reference to Unauthenticated Unauthorized Transaction Intent Creation/Modification and Invoice Enumeration vulnerability discovered by Niv Kochan, Matan Bachar in WordPress Plugin LatePoint versions = 5.7.1...

TheLastBundleMismatch

神秘的补丁 这次我们从 Android 安全公告 中作为 CVE-2023-45777 修复而出现的补丁开始：diff diff --git a/services/core/java/com/android/server/accounts/AccountManagerService.java b/services/core/java/com/android/server/accounts/AccountManagerService.java index 7a19d034c2c8..5238595fe2a2 100644 ---...

CVE-2026-22010-Android-Intent-Redirection-to-Exported-Component

CVE-2026-22010 – Android Intent 重定向到已导出组件 程序代码 Java/Android 模拟 // VulnActivity.java - Exported activity that forwards intents public class VulnActivity extends Activity @Override protected void onCreateBundle b super.onCreateb; Intent incoming = getIntent; // Retrieve target component from extras...

clawguard

🦞 ClawGuard v3 企业级 AI 智能体安全工具包 - SKILL.md 驱动的主动防御 核心理念 ClawGuard v3 的核心防御不在代码，而在 SKILL.md！ 每个模块的 SKILL.md 本身就是完整的防御指南： 告诉 Agent 何时触发 指导 Agent 如何检测 提供具体的检测模式和规则 定义输出格式和判定标准 代码脚本只是辅助工具，真正的智能在 SKILL.md 里。 🎯 五大安全模块 模块| 定位| SKILL.md 行数| 核心功能 ---|---|---|--- Auditor| 事前审计| 679 行| 意图偏离检测、SKILL.md 代码块扫描...

CVE-2014-8609-exploit

CVE-2014-8609-exploit pending intent の悪用の研究中に、CVE-2014-8609 の PoC アプリケーションを作成しました。 参考: 1. https://seclists.org/fulldisclosure/2014/Nov/81 2. https://github.com/locisvv/Vulnerable-CVE-2014-8609...

CVE-2026-20516

CVE-2026-20516：Android TV 上 MiracastService 的混淆代理漏洞 研究与披露：Davide Di Matteo（@Dingo97）。 这是我获得的第一个署名 CVE。我在研究一台 PEAQ Android TV 时，发现了一个导出配置不当、具有系统特权的 Miracast 服务。调用方可以提供一个 intent extra，使该服务利用自身特权更改 Wi-Fi Direct 状态。 MediaTek 在其2026 年 9 月安全公告中发布了该问题，并在其安全致谢中感谢了 Davide Di Matteo 。本篇文章及原始 ADB...

CVE-2026-12960

CVE-2026-12960 ASUS Router アプリにおける Android アプリケーションコンポーネントの不適切なエクスポート ASUS Router Android アプリ（com.asus.aihome）に同梱されているコンポーネントは、 android:permission を指定せずに android:exported="true" と宣言されていました。 同じ端末上の他のアプリは、権限を一切保持していなくても、細工した Intent を送信し、 ASUS Router アプリにユーザーに代わって攻撃者制御の URI を開かせることができました。 2026-03-17...

Improper access control vulnerability in Android application "ManabiPocket for Parents"

Overview Android application "ManabiPocket for Parents" provided by NTT DOCOMO BUSINESS, Inc. contains the following vulnerability: Improper Export of Android Application Components CWE-926 - CVE-2026-86701 The CVSS below assumes that sensitive information within the affected application is...

CVE-2026-86701

Android application "ManabiPocket for Parents" contains an improper access control vulnerability in one of its components. A malicious application installed on the user's Android device may exploit the affected component via an Intent, potentially allowing the malicious application to obtain...

CVE-2026-86701

Android application "ManabiPocket for Parents" contains an improper access control vulnerability in one of its components. A malicious application installed on the user's Android device may exploit the affected component via an Intent, potentially allowing the malicious application to obtain...

EUVD-2026-78279

Android application "ManabiPocket for Parents" contains an improper access control vulnerability in one of its components. A malicious application installed on the user's Android device may exploit the affected component via an Intent, potentially allowing the malicious application to obtain...

CVE-2026-86701

Android application "ManabiPocket for Parents" contains an improper access control vulnerability in one of its components. A malicious application installed on the user's Android device may exploit the affected component via an Intent, potentially allowing the malicious application to obtain...