CVE-2026-86186

AVideo is a video hosting platform whose API rate-limiting mechanism fails to account for requests carrying a bot User-Agent header . This allows an unauthenticated attacker to bypass all eight protected operations , including login brute-force protection , by simply setting a bot User-Agent stri...

CVE-2024-41276

CVE-2024-41276 Contournement d'authentification Kaiten Kaiten - un système de gestion de workflow. Une vulnérabilité dans Kaiten permet aux attaquants de contourner le mécanisme d'authentification par code PIN. L'application exige que les utilisateurs saisissent un code PIN à 6 chiffres envoyé pa...

requests-ip-rotator

Fièrement sponsorisé par Swiftproxy Proxies résidentiels haute performance avec un pool de plus de 80M d'IP dans plus de 195 pays — améliorez les taux de réussite des requêtes et réduisez les blocages IP lors de la collecte de données à grande échelle et de l'automatisation de navigateurs. Parfai...

xmlrpc-brute

Outil de Brute Force XML-RPC pour WordPress Un outil conçu pour tester les sites WordPress à la recherche de vulnérabilités XML-RPC en tentant de forcer brutalement les identifiants utilisateur via l'interface XML-RPC. Description Cet outil teste les installations WordPress pour les vulnérabilité...

batchql

BatchQL BatchQL est un script d'audit de sécurité GraphQL axé sur l'exécution de requêtes et mutations GraphQL par lots. Ce script n'est pas complexe, et nous accueillons favorablement les améliorations. En explorant le problème des attaques par lots GraphQL, nous avons constaté qu'il existait...

cve-2026-8697

CVE-2026-8697 : Contournement de la limitation de taux de connexion sur le TP-Link Archer C64 CVE-2026-8697 est un défaut logique dans l'OS du TP-Link Archer C64 appelé TPOS dans le message de débogage. Il permet à tout utilisateur non privilégié connecté au routeur de contourner la limitation de...

CVE-2026-11103-GraphQL-Batching-Alias-Rate-Limit-Bypass

3. CVE-2026-11103 – Обход ограничения частоты запросов GraphQL через алиасы при пакетной обработке Код программы эксплойт Node.js + Python root@kitploit: // graphqlratelimitserver.js - GraphQL with naive rate limiter const express = require'express'; const graphqlHTTP = require'express-graphql';...

goop

goop Scraper de recherche Google Note : Cela ne fonctionne plus. L'équipe de Google m'a dit que ce n'était pas un problème légitime lorsque je le leur ai signalé, mais ils l'ont simplement corrigé en silence. Sommaire Introduction Comment ça marche ? Utilisation Installation Exemple Mentions...

CVE-2014-0195

Script d'exploitation par force brute XML-RPC WordPress Ce dépôt contient une preuve de concept PoC basée sur Python pour effectuer une attaque par force brute sur les identifiants de connexion des instances WordPress vulnérables à CVE-2014-0195, où la fonction XML-RPC system.multicall peut être...

CVE-2026-84476 WWBN AVideo Authentication Bypass via X-Real-IP Header

WWBN AVideo fails to validate trusted proxies before accepting X-Real-IP and X-Forwarded-For headers, allowing attackers to spoof the client address used by enforceRateLimit. Attackers can rotate the header value per request to bypass login rate limiting and perform unlimited credential guessing...

CVE-2016-16113-POC

Get RCE - Exploit pour Bludit CMS root@kitploit: | | / / \ / | | \ \ / / ' | | | | ' | | | | | \ V /| | | | || | | | | | | | ,|/ / || ||/|| || ||| Un outil d'exploitation automatisé qui combine CVE-2019-17240 contournement d'authentification et CVE-2019-16113 téléchargement arbitraire de...

CVE-2024-25277

MW45APT02.0002에서 발견된 CVE-2024-25277 리소스 및 PoC 이 저장소는 CVE-2024-25277 분석 및 발견 과정에서 수집된 스크립트와 PoC 모음입니다. 해당 발견에 대한 자세한 내용은 다음에서 확인할 수 있습니다: https://blog.maentechie.com/bypass-rate-limiting-in-tcl-mw45ad-to-achieve-privileges-escalation 발견된 문제 요약 속도 제한 우회 하드코딩된 토큰 및 키 취약한 암호화 권한 상승...

CVE-2021-3138

..| Discourse 2.7.0 - CVE-2021-3138 |.. Описание : Обход ограничения скорости, ведущий к обходу 2FA Тестируемая версия : 2.7.0 Тип атаки: Удалённая Воздействие : Обход 2FA Производитель продукта : https://www.discourse.org Дополнительная информация : Discourse — это платформа для обсуждений,...

EUVD-2026-68230

WWBN AVideo current e01e41ecc and earlier contains a brute-force rate limiting bypass in enforceRateLimit, which protects login.json.php and 13 other endpoints. The function stores its attempt counter via a cache layer ObjectYPT::setCacheGlobal that silently discards writes for any client...

CVE-2026-82643

WWBN AVideo contains an unauthenticated credential submission vulnerability in plugin/Live/api/preauthorize.json.php , which accepts credentials via HTTP GET without rate limiting . An unauthenticated attacker can repeatedly submit correct credentials to trigger uncapped two-factor confirmation e...

CVE-2026-82643 WWBN AVideo Unauthenticated Rate Limit Bypass via preauthorize.json.php

WWBN AVideo contains an unauthenticated credential submission vulnerability in plugin/Live/api/preauthorize.json.php that accepts credentials over GET without rate limiting. Attackers can submit correct credentials repeatedly to trigger uncapped two-factor confirmation emails and perform sustaine...

CVE-2026-69183 Monkeytype: Rate-limit and anti-brute-force controls bypassable via spoofed HTTP headers (forgotPasswordEmail/verificationEmail mail bombing and badAuth bypass)

Monkeytype is a minimalistic and customizable typing test. In 26.26.0 and earlier, the backend rate-limit key generator in backend/src/middlewares/rate-limit.ts uses client-controlled cf-connecting-ip and x-forwarded-for headers before the trust-proxy-derived req.ip value. An unauthenticated...

CVE-2026-69183 Monkeytype: Rate-limit and anti-brute-force controls bypassable via spoofed HTTP headers (forgotPasswordEmail/verificationEmail mail bombing and badAuth bypass)

Monkeytype is a minimalistic and customizable typing test. In 26.26.0 and earlier, the backend rate-limit key generator in backend/src/middlewares/rate-limit.ts uses client-controlled cf-connecting-ip and x-forwarded-for headers before the trust-proxy-derived req.ip value. An unauthenticated...

EUVD-2026-63423

Monkeytype is a minimalistic and customizable typing test. In 26.26.0 and earlier, the backend rate-limit key generator in backend/src/middlewares/rate-limit.ts uses client-controlled cf-connecting-ip and x-forwarded-for headers before the trust-proxy-derived req.ip value. An unauthenticated...

EUVD-2026-62850

Lemmy is a link aggregator and forum for the fediverse. Prior to 0.19.19 and 1.0.0-beta.1, actix-web ConnectionInfo::realipremoteaddr reads the first value of X-Forwarded-For as the client address used by rawipkey in crates/utils/src/ratelimit/mod.rs. Lemmy's bundled docker/nginx.conf uses...