pollyscan

Pollyscan-CVE-2024-38526-脆弱性スキャナー CVE-2024-38526（Polyfill.io サプライチェーン攻撃）を検出するために設計された軽量セキュリティツールです。Web依存関係をスキャンし、悪意のあるインジェクションを自動検出します。 インストール git clone https://github.com/padayali-JD/pollyscan.git cd pollyscan 使い方 python pollyscan.py 脆弱性あり 脆弱性なし...

CVE-2026-21852-PoC

Claude Code 脆弱性教育デモ このプロジェクトは、Check Point Research が公開した Anthropic の Claude Code CLI における3つの脆弱性を実演するものです。サイバーセキュリティを学ぶ学生や研究者が、AI開発ツールのサプライチェーン攻撃がどのように機能するかを理解するために設計されています。 対象脆弱性 ID| CVSS| 種別| 修正バージョン ---|---|---|--- CVEなし| 8.7| フック同意バイパス → RCE| v1.0.87（2025年9月） CVE-2025-59536| 8.7|...

lunasec

LunaTrace LunaTrace는 오픈 소스 공급망 보안 및 감사 도구입니다. 핵심에는 프로젝트와 그 종속성을 추적하여 취약점 및 기타 문제를 찾는 웹 콘솔이 있습니다. 이 콘솔은 SAAS로 제공되거나 여기에서 무료로 이용 가능 직접 배포하고 관리할 수 있습니다. 자세한 내용은 LunaTrace 문서를 참조하십시오. 짧은 소개 동영상 저장소 구조 우리는 보안 엔지니어 팀으로, 멋진 오픈 소스 애플리케이션 보안 도구를 만드는 임무를 수행하고 있습니다. 모든 것은 이 모노레포에 있으며, 여기에 우리가 구축한 모든 것이 있는 위...

Picklescan missing detection when calling pytorch function torch.jit.unsupported_tensor_ops.execWrapper

SummaryUsing torch.jit.unsupportedtensorops.execWrapper function, which is a pytorch library function to execute remote pickle file. DetailsThe attack payload executes in the following steps:First, the attacker craft the payload by calling to torch.jit.unsupportedtensorops.execWrapper function in...

Picklescan has a missing detection when calling built-in python idlelib.autocomplete.AutoComplete.fetch_completions

SummaryUsing idlelib.autocomplete.AutoComplete.fetchcompletions, which is a built-in python library function to execute remote pickle file. DetailsThe attack payload executes in the following steps:First, the attacker craft the payload by calling to...

packj

Packj가 악성/위험한 오픈소스 패키지를 식별합니다 Packj 패키지로 발음는 소프트웨어 공급망 공격을 완화하는 도구입니다. NPM, RubyGems, PyPI와 같은 인기 있는 오픈소스 패키지 레지스트리에서 악성, 취약, 유지보수 중단, 타이포스쿼팅 및 기타 "위험한" 패키지를 탐지할 수 있습니다. 노이즈를 최소화하기 위해 쉽게 사용자 정의할 수 있습니다. Packj는 박사 연구 프로젝트로 시작했으며 현재 다양한 정부 보조금으로 개발 중입니다. 참고 이번 달 말에 Packj 웹서버 및 여러 통합 기능이 제공됩니다. 👊 이...

packj

Packj flags malicious/risky open-source packages Packj pronounced package is a tool to help to mitigate software supply chain attacks. It can detect malicious, vulnerable, abandoned, typo-squatting, and other "risky" packages from popular open-source package registries, such as NPM, RubyGems, and...

CVE-2026-12544

A flaw exists in Foreman within the foreman-rake initialization logic located in /usr/share/foreman/config/settings.rb. The vulnerability stems from a code pattern where configuration data is processed through two distinct executable layers, creating a multi-stage execution chain. This allows for...

CVE-2026-22004-Git-LFS-Pointer-Poisoning-Supply-Chain-

CVE-2026-22004 – Git LFS ポインターポイズニング（サプライチェーン） プログラムコード（Bash + Python） createmaliciousrepo.sh - Sets up a repo with poisoned LFS pointer git init git lfs track ".bin" echo "version https://git-lfs.github.com/spec/v1 oid sha256:4142434445464748494a4b4c4d4e4f505152535455565758595a616263646566 size ...

CVE-2026-67595

CVE-2026-67595 — VaahCMSに埋め込まれた悪意あるJavaScript CVE-2026-67595 に関するセキュリティアドバイザリ: VaahCMSの公式リリースに同梱された難読化JavaScriptのスパイウェアペイロードサプライチェーン/埋め込み型悪意コードの問題。Ilhomjon Rustamov氏によって独自に発見・報告されました。 概要 | ---|--- CVE ID| CVE-2026-67595 ベンダートラッキング| PT-2026-65916 Positive Technologies 製品| VaahCMS — Webreinvent...

gh_release_test

GitHub.com リリーステストプロジェクト これは、以下のブログ記事でハイライトされている機能のデモです： https://wwws.nightwatchcybersecurity.com/2021/04/25/supply-chain-attacks-via-github-com-releases/ ご質問は [email protected] までお問い合わせください。...

PHP-8.1.0-dev-Backdoor

PHP 8.1.0-dev User-Agentt バックドア リモートコード実行 RCE 重大度: Critical CVSS 相当: 10.0 脆弱性タイプ: サプライチェーンバックドア / リモートコード実行 RCE 影響を受けるソフトウェア: PHP 8.1.0-dev 開発ビルドのみ 攻撃ベクトル: リモート 認証不要 必要な認証: なし ユーザー操作: 不要 影響: システム全体の完全な侵害 概要 PHP 8.1.0-dev User-Agentt バックドア...

go-mal-pkgs

go-mal-pkgs Go Module Proxy キャッシュをバイパスし、go.sum のチェックサムを元のソースコードと照合して、悪意のある Go パッケージを検出するセキュリティツールです。 概要 このツールは、最近悪意のある github.com/boltdb-go/bolt パッケージで実証されたように、Go Module Proxy キャッシュを悪用したサプライチェーン攻撃から保護するのに役立ちます。 これらの攻撃は、Go Module Proxy の無期限キャッシュ機構を悪用し、ソースリポジトリが浄化された後でも悪意のあるコードを配信します。...

azurelinux

Azure Linux 4 Azure 向けに構築・最適化されたオープンソース Linux ディストリビューションで、Fedora Linux をソースとしています。 Azure Linux は、仮想マシン、コンテナ、ベアメタルプラットフォーム向けに、セキュリティ保護された信頼性の高いオペレーティングシステムを提供します。 Azure Linux は Fedora エコシステムの堅牢なオープンソース基盤の上に構築され、Azure 固有の革新技術で強化されています。これにより、RPM パッケージエコシステムの使い慣れた操作性を維持しつつ、Azure...

woocommerce-plugin-supply-chain-security-assessment

CVE-2026-49777 - WooCommerce Product Slider Pro 悪意あるソフトウェア埋め込みによるRCE コンサルタント形式のサイバーセキュリティレポート WooCommerceプラグインのサプライチェーンリスクに関するプロフェッショナルな脆弱性評価レポート。ビジネス影響、修復、緩和戦略を含みます。 📍 Report Snapshot 項目| 詳細 ---|--- レポートタイプ| 脆弱性評価レポート 実施コンテキスト| セキュリティ研究 主な焦点| Webアプリケーションセキュリティ 対象読者| セキュリティチーム、エンジニアリングチーム、採用担当者...

depsguard

depsguard text | | | | /|/ \ ' / |/ | | | |/ | '/ | | | | / | \ | | || | | | | | | | ,|| ./|/ , |, |, || ,| | | |/ 保护你的依赖项免受供应链攻击。单个静态二进制文件，零 Rust crate 依赖。 由 arnica 目录 - 概述 - 安装 - 使用 - 检查内容 - 配置文件位置 - 紧急安全修复 - 备份与恢复 - 工作原理 - 故障排除 - 帮助与反馈 - 指南 - 另请参阅 - 许可证 概述 DepsGuard 会在你的机器上查找...

smokedmeat

SmokedMeat CI/CD 레드팀 프레임워크 메타스플로이트와 같지만, CI/CD 파이프라인용입니다. BoostSecurity Labs에서 poutine 빌드 파이프라인 SAST 스캐너를 만든 팀이 제작했습니다. 경고: 이 도구는 승인된 보안 테스트 용도로만 사용하세요. SmokedMeat는 CI/CD 파이프라인 위협이 심각하게 과소평가되고 있기 때문에 만들어졌습니다. 기존 보안 교육은 공급망 공격을 거의 다루지 않아, 방어자들이 실제 환경에서 공격자들이 적극적으로 악용하는 기술에 대비하지 못하게 합니다. 우리는 보안 팀이...

proxy

git-pkgs proxy A caching proxy for package registries. Speeds up package downloads by caching artifacts locally, reducing bandwidth usage and improving reliability. Version Cooldown Most supply chain attacks rely on speed: a malicious version gets published and consumed by automated pipelines...

dependency-track

OWASP Dependency-Track Dependency-Track은 조직이 소프트웨어 공급망의 위험을 식별하고 줄일 수 있게 해주는 지능형 컴포넌트 분석Component Analysis 플랫폼입니다. Dependency-Track은 SBOMSoftware Bill of Materials의 기능을 활용하는 독특하고 매우 유용한 접근 방식을 취합니다. !Mastodonhttps://img.shield...

shai-scan

shai-scan npm 및 PyPI 공급망 손상 탐지를 위한 의존성 제로 CLI 스캐너 왜 필요한가? 2026년 5월 11일, 미니 샤이훌루드Mini Shai-Hulud CVE-2026-45321, GHSA-g7cv-rxg3-hmpx라는 자가 전파형 공급망 웜이 npm 생태계를 손상시켰습니다. TeamPCP일명 DeadCatx3, PCPcat, ShellForce, CipherForce에 의한 이 악성코드는 GitHub Actions OIDC 토큰을 탈취하여 유효한 SLSA Build Level 3 출처 증명을 가진 악성...