brutto

brutto 원하는 모든 것에 대한 쉬운 무차별 대입, 마법같은 증가값과 직접값. 구현 클론 git clone https://github.com/jofpin/brutto.git 최신 버전 다운로드 Python으로 설치: python setup.py install So you import the library from bruttoeasy import Brutto 사용 방법 모든 대소문자 알파벳 A-Z 포함. 모든 숫자 0-9가 과정에 반영됩니다. 또한 모든 기호와 공백을 포함합니다. 설정 scope letters numbers...

Shreder

Shreder Shreder는 강력한 멀티스레드 SSH 프로토콜 비밀번호 무차별 대입 도구입니다. 기능 매우 빠른 비밀번호 추측, 단 0.1초에 하나의 비밀번호. 대규모 비밀번호 목록에 최적화됨, Shreder는 1분 40초에 1000개의 비밀번호를 시도합니다. 간단한 CLI 및 API 사용법. 설치 pip3 install git+https://github.com/EntySec/Shreder 기본 사용법 Shreder를 사용하려면 터미널에 shreder를 입력하세요. usage: shreder -h -p PORT -u...

PassGAN

PassGAN 이 저장소는 PassGAN: A Deep Learning Approach for Password Guessing 논문의 코드를 포함하고 있습니다. PassGAN의 모델은 Improved Training of Wasserstein GANs에서 가져왔으며, PassGAN 저자들이 그들의 작업에서 improvedwgantraining 텐서플로우 구현을 사용했다고 가정합니다. 이러한 이유로, 저는 이 저장소에서 해당 참조 구현을 수정하여 train.py 와 sample.py 를 통해 쉽게 훈련하고 샘플링할 수 있도록...

Go365

Go365 v2.0 AWS 게이트웨이 문제 수정 h0useh3ad 님 감사합니다! 프록시 서버 연결 실패 시 더 이상 종료되지 않음 graph 엔드포인트 추가 Go365를 사용하기 전에 이 README를 모두 읽어주세요! Go365는 Office365현재/곧 Microsoft365를 사용하는 조직에 대해 사용자 열거 및 비밀번호 추측 공격을 수행하도록 설계된 도구입니다. Go365는 대부분의 다른 도구가 사용하지 않는 login.microsoftonline.com의 고유한 SOAP API 엔드포인트를 사용합니다. 이메일 주소와...

CVE-2026-44596

CVE-2026-44596 — YAMCS 認証エンドポイントにレート制限がない 概要 yamcs-core の認証エンドポイント POST /auth/token には、レート制限、アカウントロックアウト、または失敗した試行のスロットリングが一切実装されていません。認証されていないリモートの攻撃者は、任意のユーザーアカウントに対して無制限にパスワード推測攻撃を行うことができます。 フィールド| 値 ---|--- CVE| CVE-2026-44596 深刻度| 中 CVSS 5.3 CWE| CWE-307: 過剰な認証試行の不適切な制限 影響を受けるバージョン| yamcs-co...

win-brute-logon

알림 1: 현재 도구가 PowerShell 버전으로 포팅되었음을 기쁘게 알려드립니다. 이제 사용자는 PowerShell 명령줄에서 직접 도구에 액세스하고 사용할 수 있어 훨씬 더 편리하고 효율적으로 사용할 수 있습니다. 이 새로운 버전이 사용자에게 큰 도움이 되고 도구 사용 경험을 향상시킬 것이라고 믿습니다. 지속적인 지원에 감사드리며 새로운 PowerShell 버전을 즐기시기 바랍니다: https://github.com/DarkCoderSc/power-brute-logon 알림 2: 최근 Microsoft가 최신 및 업데이트...

EUVD-2026-94402

Gophish through 0.12.1 contains a rate limit bypass vulnerability that allows unauthenticated attackers to evade /login throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can send a different forwarded address per request so the limiter keyed on rewritten RemoteAddr never...

CVE-2026-107271 Gophish through 0.12.1 Login Rate Limit Bypass via X-Forwarded-For Spoofing

Gophish through 0.12.1 contains a rate limit bypass vulnerability that allows unauthenticated attackers to evade /login throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can send a different forwarded address per request so the limiter keyed on rewritten RemoteAddr never...

CVE-2026-107271 Gophish through 0.12.1 Login Rate Limit Bypass via X-Forwarded-For Spoofing

Gophish through 0.12.1 contains a rate limit bypass vulnerability that allows unauthenticated attackers to evade /login throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can send a different forwarded address per request so the limiter keyed on rewritten RemoteAddr never...

PT-2026-107575

Gophish through 0.12.1 contains a rate limit bypass vulnerability that allows unauthenticated attackers to evade /login throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can send a different forwarded address per request so the limiter keyed on rewritten RemoteAddr never...

CVE-2026-71205-PoC

CVE-2026-71205 — changedetection.io: /login にレート制限がなく、無制限のパスワードブルートフォースが可能 製品: dgtlmoon/changedetection.io — v0.55.7 ファイル: changedetectionio/flaskapp.py CWE: CWE-307 — 過剰な認証試行の不適切な制限 CVSS 3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N — 6.5 中 CNA: Turan Security · CVE レコード 説明 changedetection.io の /logi...

Talon

이 저장소는 보관되었습니다 Talon의 최신 버전을 보거나 이슈를 제출하려면 https://github.com/Tylous/Talon을 참조하십시오. Talon Talon은 탐지되지 않고 자동화된 비밀번호 추측 공격을 수행하도록 설계된 도구입니다. Talon은 Kerberos를 사용하여 유효한 사용자를 식별하기 위해 사용자 목록을 열거할 수 있습니다. 또한 Kerberos 및 LDAPS보안 LDAP 서비스에 대해 비밀번호 추측 공격을 수행할 수 있습니다. Talon은 단일 도메인 컨트롤러 또는 여러 도메인 컨트롤러를 사용하여...

PT-2026-102396

Name of the Vulnerable Software and Affected Versions Nginx Proxy Manager versions prior to 2.16.1 Description Lack of rate-limiting on authentication endpoints allows unauthenticated attackers to perform unlimited password guessing against any account. Attackers can brute-force login credentials...

CVE-2026-56682

9Router is an AI router & token saver. Prior to 0.5.6, 9Router deployments that allow requests to reach Next.js without the sanitizing custom-server.js wrapper use the client-supplied X-9r-Real-Ip value as the bucket key in getClientIp, checkLock, and recordFail in src/lib/auth/loginLimiter.js fo...

GHSA-32GC-64M7-HJ7V 9Router has a Login Brute-Force Lockout Bypass via Spoofable X-9r-Real-Ip Header

Summary 9router enforces a progressive login lockout 5 failed attempts → temporary 30s+ lock keyed on the client IP. The client IP used for this limiter is taken from the X-9r-Real-Ip request header, which is intended to be set only by the bundled custom-server.js layer from the unspoofable TCP...

CVE-2026-56682

9Router versions prior to 0.5.6 are vulnerable to a login brute-force lockout bypass. The application's rate-limiting mechanism, specifically in src/lib/auth/loginLimiter.js, uses the client-supplied X-9r-Real-Ip header as the bucket key for tracking failed login attempts. When deployed without t...

CVE-2026-56682 9Router: Login Brute-Force Lockout Bypass via Spoofable X-9r-Real-Ip Header

9Router is an AI router & token saver. Prior to 0.5.6, 9Router deployments that allow requests to reach Next.js without the sanitizing custom-server.js wrapper use the client-supplied X-9r-Real-Ip value as the bucket key in getClientIp, checkLock, and recordFail in src/lib/auth/loginLimiter.js fo...

CVE-2026-56682: Improper Restriction of Excessive Authentication Attempts

9Router is an AI router & token saver. Prior to 0.5.6, 9Router deployments that allow requests to reach Next.js without the sanitizing custom-server.js wrapper use the client-supplied X-9r-Real-Ip value as the bucket key in getClientIp, checkLock, and recordFail in src/lib/auth/loginLimiter.js fo...

PT-2026-96821

Name of the Vulnerable Software and Affected Versions 9Router versions prior to 0.5.6 Description In deployments where requests reach Next.js without the sanitizing custom-server.js wrapper, the application uses the client-supplied X-9r-Real-Ip header as the bucket key for rate limiting. This...

EUVD-2026-72007

AVideo API fails to enforce rate limits when clients send a bot User-Agent header, allowing attackers to bypass all eight protected operations including login brute-force protection. Attackers can send requests with a bot User-Agent to disable rate limiting and perform unlimited password guessing...