CVE-2021-40539

CVE-2021-40539 CVE-2021-40539：ADSelfService Plus RCE 취약점 1: 취약점 설명 ZOHO ManageEngine ADSelfService Plus는 ZOHO사의 Active Directory 및 클라우드 애플리케이션을 위한 통합 셀프 서비스 비밀번호 관리 및 싱글 사인온 솔루션입니다. CVE-2021-40539 Zoho ManageEngine ADSelfService Plus 6113 및 이전 버전에는 REST API 인증 우회 취약점이 존재합니다. 원격 공격자는 이 취약점을 이용하여 영...

PT-2026-104111

The WP Edit Password Protected WordPress plugin before 2.0.7 does not enforce its site-wide access restriction on the WordPress REST API, allowing unauthenticated users to read the content of published posts and pages that the site's access mode was configured to hide...

CVE-2026-104991: Missing Authorization

Phproject before 1.8.7 contains a missing object-level authorization vulnerability in the REST API issue endpoints singleget, singlecomments, singlecommentspost that allows authenticated API key holders to bypass the security.restrictaccess confidentiality control by never invoking the allowAcces...

CVE-2025-32429

CVE-2025-32429 XWiki SQL Injection PoC Author: Byte Reaper Telegram: @ByteReaper0 CVE: CVE‑2025‑32429 Vulnerability: XWiki LiveData REST API의 블라인드 SQL 인젝션 Affected File: getdeleteddocuments.vm sort 매개변수 Description : XWiki Platform의 LiveData REST 엔드포인트에서 getdeleteddocuments.vm의 sort 매개변수를 사용할 때...

CVE-2025-5964-

CVE‑2025‑5964 M‑Files용 경로 탐색 PoC 저자: Byte Reaper 텔레그램: @ByteReaper0 개요 이 저장소는 M‑Files 버전 25.6.14925.0 에서 의심되는 경로 탐색Path Traversal 취약점에 대한 C 언어로 작성된 개념 증명PoC을 포함합니다. PoCexploit.c 파일는 REST API 엔드포인트에 탐색 페이로드를 주입하여 민감한 파일예: /etc/passwd을 읽으려고 시도합니다. 중요 공지 확인된 익스플로잇이 아님 : 모든 매개변수와 엔드포인트는 공개 문서와 OSINT에...

CVE-2019-6340-Drupal-8.6.9-REST-Auth-Bypass

CVE-2019-6340 / SA-CORE-2019-003 Drupal 8.6.9 버전이 CVE-2019-6340에 취약함을 보여주는 세 가지 스크립트가 포함되어 있습니다: createnodeviarest.py - REST API를 통해 인증된 노드를 정상적으로 생성하는 예제 doesnotcorrespond.py - 인증 없이도 요청이 처리됨을 증명 exploit.py - 역직렬화를 악용하여 원격 명령 실행 Drupal 8.6.9를 https://www.drupal.org/project/drupal/releases/8.6.9에...

CVE-2017-12542-Exploit

HP iLO 인증 우회 CVE-2017-12542 이 저장소는 HP Integrated Lights-Out iLO 펌웨어의 특정 버전에 영향을 미치는 인증 우회 취약점인 CVE-2017-12542 에 대한 개념 증명 익스플로잇 을 포함하고 있습니다. 이 취약점은 인증되지 않은 접근으로 iLO REST API에 접근할 수 있게 하며, 이를 악용하여 계정을 열거하고 취약한 구성에서 새로운 관리자 사용자를 생성할 수 있습니다. 취약점 개요 CVE : CVE-2017-12542 영향을 받는 제품 : HP iLO 여러 세대 영향 : 인...

wp-mhn

wp-mhn Modern Honeypot Network Server와 Wordpress Blog를 MHN의 REST API 및 WP의 단축 코드shortcode를 통해 통합합니다. 설치 및 사용법 1. wp-mhn을 zip 파일로 다운로드하거나, 저장소를 클론한 후 압축합니다. 2. MHN 서버에 해당하는 정보로 config.sample.php를 편집합니다. 3. config.sample.php를 config.php로 저장/이름 변경합니다. 4. 플러그인을 블로그에 업로드하고 활성화합니다. 5. 해당 정보를 표시하려는 페이지에...

CVE-2025-24000-exploit

CVE-2025-24000 — Post SMTP 권한 상승 익스플로잇 개요 이 스크립트는 Post SMTP WordPress 플러그인버전 ≤ 3.2.0의 심각도가 높은 손상된 접근 제어 취약점인 CVE-2025-24000 을 악용합니다. 이 취약점을 통해 낮은 권한의 계정예: 구독자을 가진 모든 인증 사용자가 플러그인의 REST API 이메일 로그에 접근하고, 관리자 비밀번호 재설정 링크를 탈취하여 관리자 계정을 장악할 수 있습니다. CVE: CVE-2025-24000 플러그인: Post SMTP WPExperts 영향을 받는...

CVE-2025-67923

CVE-2025-67923 悪用レポート JetEngine = 3.7.7 — CCT REST APIを介した未認証の格納型クロスサイトスクリプティング 日付： 2026年3月11日 CVSSスコア： 7.1 High CVSSベクター： CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L 影響を受けるプラグイン： JetEngine = 3.7.7 プラグインスラッグ： jet-engine 修正バージョン： 3.7.8 CVE： CVE-2025-67923 CWE： CWE-79 研究者： Bonds（Patchstack経由） 報告日：...

CVE-2026-102666

The Joyland AI app contains hard-coded credentials for the GeTui push notification service, allowing an attacker to access the GeTui REST API and send push notifications containing arbitrary content to any user, group of users, or all users of the app at once...

CVE-2026-102666

The Joyland AI app contains hard-coded credentials for the GeTui push notification service . This vulnerability allows an attacker to access the GeTui REST API to send push notifications with arbitrary content to any individual user, specific groups, or the entire user base of the app. No specifi...

EUVD-2026-91023

The Joyland AI app contains hard-coded credentials for the GeTui push notification service, allowing an attacker to access the GeTui REST API and send push notifications containing arbitrary content to any user, group of users, or all users of the app at once...

CVE-2026-60137-and-CVE-2026-63030

wp2shell Lab — CVE-2026-60137 & CVE-2026-63030 WordPress Core Pre-Auth RCE ラボ — 実際のエクスプロイト、RCE サーバー。 警告: ラボは脆弱な WordPress を実行します。インターネットに公開しないでください。 構成 . ├── docker-compose.yml Lab: WordPress 6.9.4 + MariaDB 11 + phpMyAdmin ├── exploit/ PoC exploit clone từ GitHub │ └── wp2shell.py Full RCE explo...

burp-rest-api

burp-rest-api ⚠️ 경고: 이 프로젝트는 더 이상 활발히 유지관리되지 않습니다. 저장소는 참고용으로 계속 제공되지만, 향후 업데이트, 버그 수정 또는 지원은 제공되지 않습니다. 개요 Burp Suite 보안 도구용 REST/JSON API입니다. 2016년 첫 커밋 이후로 burp-rest-api 는 BurpSuite 기반 웹 스캐닝 자동화의 기본 도구였습니다. 많은 보안 전문가와 조직이 Burp Spider 및 Scanner의 작업을 오케스트레이션하기 위해 이 확장 프로그램을 사용해 왔습니다. 시작하기 1. 릴리스...

CVE-2026-27541-Analysis-Lab

CVE-2026-27541 — WooCommerce Wholesale Prices 認証済み権限昇格ラボ 概要 このプロジェクトは、WooCommerce Wholesale Prices / Wholesale Suite プラグインにおける CVE-2026-27541 の挙動を、脆弱な ビルドとパッチ適用済み ビルドを同一マシン上で並行して比較しながら分析・再現するためのローカル Docker ラボです。 中核となる問題は、以下の REST API エンドポイントにおけるアクセス制御の欠陥 Broken Access Control です:...

vuln4japi

vuln4japi CVE-2021-44228（log4shell）を実演するための脆弱性を持つJavaベースのREST APIです。 動機 Log4Shellは2021年12月初旬にインターネットを席巻しました。Apache Log4jロギングライブラリにおけるゼロデイ脆弱性で、リモートコード実行（RCE）が可能であり、世界中の組織が公開Javaアプリケーションの修正・パッチ適用・緩和策に奔走しました。InfoSecコミュニティがセキュリティチームへの継続的な分析と解決策の提供に協力する一方で、Log4jコミュニティはこの脆弱性に終止符を打つためのパッチ開発に忙しくしていました。...

CVE-2026-1560-Authenticated-Remote-Code-Execution-in-Lazy-Blocks-4.2.0

CVE-2026-1560 – Custom Block Builder – Lazy Blocks ≤ 4.2.0 における認証済みリモートコード実行 研究者 : ZeYrOXxx プラグイン : Custom Block Builder – Lazy Blocks 影響を受けるバージョン : ≤ 4.2.0 深刻度 : 高 CVSS : 8.8 脆弱性タイプ : 認証済みリモートコード実行（RCE） 攻撃ベクトル : REST API 必要な権限 : editposts（Contributor以上） 参考情報 Wordfence アドバイザリ:...

CVE-2026-23550-PoC

CVE-2026-23550-PoC CVE-2026-23550 - Modular DS WordPressプラグイン 認証なし管理者アクセス 概念実証（PoC） - CVE-2026-23550 を実証します。これは Modular DS WordPressプラグイン （バージョン≤2.5.1）における重大な認証なし管理者アカウント乗っ取りです。実環境で活発に悪用されています。 攻撃概要 : /api/modular-connector/login の欠陥のあるREST APIルーティングが、origin=mo...

CVE-2026-6227

CVE-2026-6227: BackWPup におけるローカルファイルインクルード アドバイザリ概要 BackWPup バージョン 5.6.6 以前は、/wp-json/backwpup/v1/getblock REST エンドポイントの blockname パラメータを介した、認証済みローカルファイルインクルード（LFI）脆弱性の影響を受けます。 この欠陥は、トラバーサルシーケンスの非再帰的な strreplace サニタイズ処理によって引き起こされ、バージョン 5.6.7 で修正済みです。 メタデータ CVE: CVE-2026-6227 深刻度: 高 CVSS スコア: 7.2...