Vite Dev Server - Path Traversal in Optimized Deps .map Handling

Vite development server versions prior to 8.0.5, 7.3.2, and 6.4.2 are vulnerable to path traversal through the optimized dependencies sourcemap handler. The dev server's handling of .map requests for optimized dependencies resolves file paths via normalizePathpath.resolveroot, url.slice1 and call...

CVE-2026-23744-PoC

説明 MCPJam inspectorは、MCPサーバー向けのローカルファーストの開発プラットフォームです。バージョン1.4.2以前には、リモートコード実行（RCE）の脆弱性が存在し、攻撃者が細工したHTTPリクエストを送信することでMCPサーバーのインストールがトリガーされ、RCEに至る可能性があります。MCPJam inspectorはデフォルトで127.0.0.1ではなく0.0.0.0でリッスンするため、攻撃者は単純なHTTPリクエストによってリモートからRCEを引き起こすことができます。バージョン1.4.3でパッチが適用されました。 影響を受けるバージョン 脆弱性のソース|...

CVE-2025-30208-31125-31486-32395

Vite 취약점 악용 가이드 CVE-2025-30208/31125/31486/32395 이 문서는 Vite 개발 서버에서 발생하는 네 가지 임의 파일 읽기 취약점의 악용 방법을 요약하며, Linux 및 Windows 시스템 예제를 포함합니다. 참고: 승인된 보안 테스트 환경에서만 사용하세요. 기본 원리 Vite 개발 서버의 이 네 가지 취약점은 모두 공격자가 server.fs.deny 제한을 우회하여 서버의 임의 파일을 읽을 수 있도록 합니다. 각 취약점은 서로 다른 우회 기술을 사용하지만 기본 원리는 유사합니다. 영향 조건 ...

CVE-2025-49844-discovery

ElastiCache Redis/Valkey 네트워크 분석 도구 AWS ElastiCache Redis 및 Valkey 클러스터의 네트워크 노출을 감사하기 위한 스크립트입니다. 사전 요구 사항 적절한 자격 증명으로 구성된 AWS CLI jq 설치: brew install jq 스크립트 list-elasticache-clusters.sh 지정된 리전의 모든 Redis/Valkey 클러스터를 나열합니다. ./list-elasticache-clusters.sh check-elasticache-network.sh 단일 AWS 계정의...

threat-finder

OffSeq Threat Finder threat-finder 는 호스트에서 실제로 실행 중인 취약한 소프트웨어를 찾아냅니다. 매니페스트가 주장하는 내용이 아니라 실제 실행 중인 것을 기준으로 하며, 어떤 발견 항목이 네트워크로 도달 가능한지 도 알려줍니다. 각 실행 중인 서비스--scope all을 사용하면 설치된 모든 OS 패키지를 정확한 Package-URL로 해석한 다음, OffSeq Radar 카탈로그와 에코시스템 고유 버전 규칙을 사용하여 매칭하므로 백포트되거나 수정된 빌드가 오탐false-positive으로 플래그...

cve-2026-23744

CVE-2026-23744 – MCPJam Inspector 무인증 원격 코드 실행 RCE 설명 제품 : MCPJam Inspector 영향을 받는 버전 : ≤ 1.4.2 수정된 버전 : 1.4.3 유형 : 무인증 원격 코드 실행 RCE 공격 경로 : 네트워크 인증 필요 : 아니요 사용자 상호작용 필요 : 아니요 CVSS v3.1 : 9.8 치명적 CVE-2026-23744 는 MCPJam Inspector ≤ 1.4.2 에 영향을 미치는 치명적인 무인증 원격 코드 실행 RCE 취약점입니다. 이 문제는 Inspector가 사용...

openclaw-technical-analysis

OpenClaw 기술 분석 이 저장소는 OpenClaw AI 플랫폼에 대한 심층 기술 검토 및 코드 감사 내용을 담고 있습니다 특히 2026년 2월 15일 및 2월 25일 빌드에 초점을 맞춥니다. 이 리뷰는 원시 아키텍처 분석, GitHub 커밋 기록, 그리고 출시된 기능과 SECURITY.md 및 VISION.md 간의 교차점에 기반합니다. 비디오 감사 "Glass Cannon" 효과, 인증되지 않은 네트워크 노출, 그리고 3,700개의 "버그 수정" 뒤에 숨겨진 현실에 대한 전체 분석을 보려면 여기에서 전체 리뷰를 시청하세...

CVE-2025-14847

📝 MongoDB 스캐너 – 실행 참고사항 스크립트 이름 mongoexposurescanner.py 1. 사전 요구사항 Python 3.9+ 대상 호스트에 대한 네트워크 접근 승인된 스캔 범위 Python 확인: python3 --version 2. 사용 파일 파일| 목적 ---|--- mongoscanner.py| 스캐너 스크립트 targets.txt| 대상 호스트 및 포트 mongoexposedtargets.txt| 스캔 결과 자동 생성 3. 대상 파일 형식 targets.txt 지원 형식: Host only...

CVE-2026-23744

CVE-2026-23744 CVE-2026-23744 RCE В ходе анализа этой уязвимости я обнаружил, что MCPJam Inspector выставил конечную точку /api/mcp/connect в сеть, привязавшись к 0.0.0.0. Эта конечная точка принимает JSON-объект, содержащий serverConfig, включая поля command и args. Приложение предназначалось дл...

CVE-2026-23744-RCE-for-MCPjam-inspector-v1.4.2

CVE-2026-23744-RCE-for-MCPjam-inspector-v1.4.2 Критическая уязвимость RCE в MCPJam Inspector 3.Запустите эксплойт python3 CVE-2026-23744.py -u -i -p 4.Для лучшего использования рекомендую обновить терминал до полностью функционального, иначе вы не сможете использовать такие команды, как Ctrl+C...

CVE-2026-79316

An improper access control vulnerability exists in x-ui 0.3.2. Any authenticated panel user can modify the xray configuration template through the settings interface and trigger a panel restart, causing the xray management gRPC service, which is bound to loopback by default, to be regenerated and...

CVE-2026-50607

A vulnerability has been identified in the Acer System Monitoring component included with NitroSense and PredatorSense. A WebSocket service was configured to listen on all network interfaces, which may expose the service to unintended network access...

CVE-2026-50607 WebSocket Exposure Vulnerability in NitroSense and PredatorSense Software

A vulnerability has been identified in the Acer System Monitoring component included with NitroSense and PredatorSense. A WebSocket service was configured to listen on all network interfaces, which may expose the service to unintended network access...

CVE-2026-50607

CVE-2026-50607 affects the Acer System Monitoring component bundled with NitroSense and PredatorSense . A WebSocket service was configured to listen on all network interfaces rather than a restricted one, which may expose the service to unintended network access. The CVSS 4.0 base score is 6.9 (M...

CVE-2026-50607 WebSocket Exposure Vulnerability in NitroSense and PredatorSense Software

A vulnerability has been identified in the Acer System Monitoring component included with NitroSense and PredatorSense. A WebSocket service was configured to listen on all network interfaces, which may expose the service to unintended network access...

CVE-2026-59160 Yeger: Unauthenticated Network-Exposed Turborepo Task Execution via /api/run

Yeger is a monorepo for npm packages maintained under the yeger scope. Prior to 2.8.9, the turbo-graph package starts its embedded Next.js server from packages/turbo-graph/src/index.ts on all interfaces, including 0.0.0.0:29312 by default, while the GET handler for /api/run in...

CVE-2026-77884

Gallery – Private Photo Vault v1.0.41 (Android) starts an unauthenticated HTTP server on TCP port 8080 reachable from the adjacent network. The server exposes files and directory listings from Android external storage , allowing any device on the same local network to read private photo data with...

CVE-2026-38924

In Oraios AI Serena before 1.0.0, the listen address of the MCP server in HTTP mode is 0.0.0.0. NOTE: the Supplier observed that 0.0.0.0 was a "potential security hazard" but the Serena documentation, at the time of the issue report proposing 127.0.0.1 instead of 0.0.0.0, recommended "use a...

CVE-2026-38924

In Oraios AI Serena before 1.0.0, the listen address of the MCP server in HTTP mode is 0.0.0.0. NOTE: the Supplier observed that 0.0.0.0 was a "potential security hazard" but the Serena documentation, at the time of the issue report proposing 127.0.0.1 instead of 0.0.0.0, recommended "use a...

PT-2026-91030

In Oraios AI Serena before 1.0.0, the listen address of the MCP server in HTTP mode is 0.0.0.0. NOTE: the Supplier observed that 0.0.0.0 was a "potential security hazard" but the Serena documentation, at the time of the issue report proposing 127.0.0.1 instead of 0.0.0.0, recommended "use a...