batchql

BatchQL BatchQLは、バッチGraphQLクエリとミューテーションの実行に焦点を当てたGraphQLセキュリティ監査スクリプトです。このスクリプトは複雑ではなく、改善を歓迎します。 GraphQLバッチ攻撃の問題領域を探求したところ、インターネット上にいくつかのブログ記事はありましたが、GraphQLバッチ攻撃を実行するツールは存在しないことがわかりました。...

requests-ip-rotator

自豪地由 Swiftproxy 赞助 高性能住宅代理，拥有 超过 1.8 亿 IP 池，覆盖 195+ 个国家/地区 —— 在大规模数据采集和浏览器自动化过程中提高请求成功率，减少 IP 被封禁。非常适合与 requests-ip-rotator、Playwright、Selenium 及其他爬虫工具搭配使用。 开始免费试用 → requests-ip-rotator 一个 Python 库，利用 AWS API Gateway 庞大的 IP 池作为代理，为网络爬虫和暴力破解生成几乎无限的 IP 地址。 该库允许用户绕过基于 IP 的网站和服务速率限制。 除非指定，否则...

xmlrpc-brute

WordPress XML-RPC ブルートフォースツール WordPressサイトのXML-RPCインターフェースを介してユーザー認証情報をブルートフォース攻撃し、XML-RPCの脆弱性をテストするためのツールです。 説明 このツールは、WordPressインストールのXML-RPC認証の脆弱性をテストします。標準的なブルートフォース攻撃を実行したり、system.multicallを使用して1つのリクエストで複数のパスワードをテストし、レート制限を回避できる可能性があります。 機能 対象のWordPressサイトでXML-RPCが有効かどうかを確認します...

CVE-2014-0195

XML-RPC WordPress 暴力破解利用脚本 该仓库包含一个基于Python的概念验证（PoC）脚本，用于对存在CVE-2014-0195漏洞的WordPress实例进行登录凭据暴力破解。该漏洞利用XML-RPC的system.multicall函数，可以在单个HTTP请求中尝试多次登录请求，可能导致拒绝服务。此脚本旨在供网络安全专业人员评估WordPress安装的安全性。 免责声明 此代码仅供在授权系统上合法使用。未经授权使用此代码属违法行为，可能导致严重后果。在测试或利用不属于您的系统之前，始终获取明确许可。 漏洞概述 漏洞存在于WordPress的XML-RPC...

CVE-2024-41276

CVE-2024-41276 Kaiten 認証バイパス Kaiten - ワークフロー管理システム。 Kaiten の脆弱性により、攻撃者は PIN コード認証機構をバイパスできます。このアプリケーションは、ログイン認証情報を入力した後、ユーザーにメールで送信された 6 桁の PIN コードの入力を要求します。しかし、リクエスト制限機構は簡単にバイパスでき、攻撃者はブルートフォース攻撃で正しい PIN を推測し、アプリケーションへの不正アクセスを獲得できます。 詳細: 認証機構はメールで送信される 1 要素のみを使用し、パスワードはありません : レート制限のバイパスは...

CVE-2016-16113-POC

Get RCE - Bludit CMS Exploit root@kitploit: | | / / \ / | | \ \ / / ' | | | | ' | | | | | \ V /| | | | || | | | | | | | ,|/ / || ||/|| || ||| An automated exploitation tool that combines CVE-2019-17240 Authentication Bypass and CVE-2019-16113 Arbitrary File Upload to achieve remote code...

CVE-2024-25277

CVE-2024-25277 在 MW45APT02.0002 上发现 资源和 PoC 此仓库收录了在分析及发现 CVE-2024-25277 过程中收集的脚本和 PoC。 更多关于该发现的信息请查阅：https://blog.maentechie.com/bypass-rate-limiting-in-tcl-mw45ad-to-achieve-privileges-escalation 发现的问题摘要 速率限制绕过 硬编码令牌和密钥 弱加密 权限提升...

CVE-2021-3138

..| Discourse 2.7.0 - CVE-2021-3138 |.. 描述： 速率限制绕过，导致双因素认证绕过 测试版本： 2.7.0 攻击类型： 远程 影响： 2FA 绕过 产品供应商： https://www.discourse.org 附加信息： Discourse 是为下一个十年互联网构建的讨论平台。用作： - 邮件列表 - 讨论论坛 - 长文聊天室 还有像 Google 收购的知名公司等一直使用 Discourse 至今。 发现者： Meshal Almansour Twitter: mesh3l911...

EUVD-2026-68230

WWBN AVideo current e01e41ecc and earlier contains a brute-force rate limiting bypass in enforceRateLimit, which protects login.json.php and 13 other endpoints. The function stores its attempt counter via a cache layer ObjectYPT::setCacheGlobal that silently discards writes for any client...

CVE-2026-82643

WWBN AVideo contains an unauthenticated credential submission vulnerability in plugin/Live/api/preauthorize.json.php , which accepts credentials via HTTP GET without rate limiting . An unauthenticated attacker can repeatedly submit correct credentials to trigger uncapped two-factor confirmation e...

CVE-2026-82643 WWBN AVideo Unauthenticated Rate Limit Bypass via preauthorize.json.php

WWBN AVideo contains an unauthenticated credential submission vulnerability in plugin/Live/api/preauthorize.json.php that accepts credentials over GET without rate limiting. Attackers can submit correct credentials repeatedly to trigger uncapped two-factor confirmation emails and perform sustaine...

CVE-2026-11103-GraphQL-Batching-Alias-Rate-Limit-Bypass

3. CVE-2026-11103 – Bypass del Rate Limit tramite Alias nel Batching GraphQL Codice del programma Node.js + Exploit Python root@kitploit: // graphqlratelimitserver.js - GraphQL with naive rate limiter const express = require'express'; const graphqlHTTP = require'express-graphql'; const buildSchem...

cve-2026-8697

CVE-2026-8697: Bypass del limite di tentativi di accesso su TP-Link Archer C64 CVE-2026-8697 è un difetto logico nel sistema operativo del TP-Link Archer C64 chiamato TPOS nel messaggio di debug. Consente a qualsiasi utente non privilegiato connesso al router di aggirare il limite di tentativi...

goop

goop Google-Suche-Scraper Hinweis: Es funktioniert nicht mehr. Google hat mir mitgeteilt, dass es kein legitimes Problem sei, als ich es meldete, aber jetzt haben sie es stillschweigend behoben. Inhalt Einleitung Wie funktioniert es? Verwendung Installation Beispiel Rechtliches & Haftungsausschlu...

CVE-2026-69183 Monkeytype: Rate-limit and anti-brute-force controls bypassable via spoofed HTTP headers (forgotPasswordEmail/verificationEmail mail bombing and badAuth bypass)

Monkeytype is a minimalistic and customizable typing test. In 26.26.0 and earlier, the backend rate-limit key generator in backend/src/middlewares/rate-limit.ts uses client-controlled cf-connecting-ip and x-forwarded-for headers before the trust-proxy-derived req.ip value. An unauthenticated...

CVE-2026-69183 Monkeytype: Rate-limit and anti-brute-force controls bypassable via spoofed HTTP headers (forgotPasswordEmail/verificationEmail mail bombing and badAuth bypass)

Monkeytype is a minimalistic and customizable typing test. In 26.26.0 and earlier, the backend rate-limit key generator in backend/src/middlewares/rate-limit.ts uses client-controlled cf-connecting-ip and x-forwarded-for headers before the trust-proxy-derived req.ip value. An unauthenticated...

EUVD-2026-63423

Monkeytype is a minimalistic and customizable typing test. In 26.26.0 and earlier, the backend rate-limit key generator in backend/src/middlewares/rate-limit.ts uses client-controlled cf-connecting-ip and x-forwarded-for headers before the trust-proxy-derived req.ip value. An unauthenticated...

EUVD-2026-62850

Lemmy is a link aggregator and forum for the fediverse. Prior to 0.19.19 and 1.0.0-beta.1, actix-web ConnectionInfo::realipremoteaddr reads the first value of X-Forwarded-For as the client address used by rawipkey in crates/utils/src/ratelimit/mod.rs. Lemmy's bundled docker/nginx.conf uses...

CVE-2026-54738 Lemmy: Rate limit bypass via X-Forwarded-For header spoofing in actix-web ConnectionInfo

Lemmy is a link aggregator and forum for the fediverse. Prior to 0.19.19 and 1.0.0-beta.1, actix-web ConnectionInfo::realipremoteaddr reads the first value of X-Forwarded-For as the client address used by rawipkey in crates/utils/src/ratelimit/mod.rs. Lemmy's bundled docker/nginx.conf uses...

CVE-2026-54738

Lemmy , a fediverse link aggregator and forum, is vulnerable to rate limit bypass via X-Forwarded-For header spoofing in versions prior to 0.19.19 and 1.0.0-beta.1 . The root cause is that actix-web's ConnectionInfo::realip_remote_addr reads the first value of X-Forwarded-For as the client addres...