#1Herramientas de prueba, fuzzing, validación de esquemas, prueba de autenticación y seguridad de gateway de APIs.
Recomendado por Kitploit
abraxas/jellyfin-playlist-itemidsJellyfin Server 12.2 - Alta - Remota - IDOR - ItemIds de listas de reproducción públicas remanentes de GHSA-9x85, luego transmisión no autenticada
abraxas/jellyfin-suggestions-idorJellyfin Server 12.2 - Alta - Remota - IDOR - GET /Items/Suggestions omit-userId vuelca la ruta y los IDs de la biblioteca oculta
owasp/secretsifterProyecto Incubator de OWASP: detecta credenciales expuestas en contenido entregado por el navegador (JavaScript, respuestas de configuración, tráfico…
abraxas/pfsense-api-acb-userkeypfSense Plus MIM API toolkit b4acd7ca - Alta - Remota - IDOR - URL de capacidad de clave de usuario ACB
abraxas/pfsense-api-acme-key-dumppfSense Plus MIM API toolkit b4acd7ca - Alta - Remoto - Privilegio residual - GET /services/acme vuelca claves
abraxas/pfsense-api-export-key-getpfSense Plus MIM API toolkit b4acd7ca - Alta - Remota - Privilegio residual - GET export-key claves privadas
abraxas/pfsense-api-fleet-jwtpfSense Plus MIM API toolkit b4acd7ca - Alta - Remota - IDOR - un JWT de controlador es un token de flota
abraxas/pfsense-api-snort-file-joinpfSense Plus MIM API toolkit b4acd7ca - Alta - Remota - Lectura de archivos - Reglas Snort {file} decode-then-join
ambitsecurity/jshoundEncuentra cada solicitud de API que realiza una aplicación web, desde el JavaScript que envía: método, URL, cuerpo, encabezados y operaciones…
zentinelproxy/zentinelUn proxy inverso centrado en la seguridad, diseñado para proteger la web libre.
abraxas/gitea-follow-existenceDemuestra un oráculo de enumeración de cuentas de Gitea: la petición autenticada PUT /api/v1/user/following/{username} devuelve 204 para cuentas…
abraxas/gitea-public-only-pat-orgPrueba de concepto de laboratorio para un bypass de autorización en Gitea donde un PAT solo público con write:organization crea una organización…
abraxas/gitea-stargazers-hiddenPrueba de concepto y laboratorio para una divulgación de información no autenticada en Gitea: la API de stargazers y watchers filtra nombres de…
abraxas/gitea-user-keys-idorPrueba de concepto y laboratorio para un IDOR de Gitea (CWE-639) en GET /api/v1/user/keys/{id}, que permite a un token autenticado read:user enumerar…
abraxas/hyperswitch-payout-confirm-secretPrueba de concepto y laboratorio para un fallo de confirmación de pagos de Hyperswitch: un client_secret ficticio junto con el importe en POST…
abraxas/lago-invite-atoLaboratorio de prueba de concepto que demuestra un bypass de autenticación crítico en el acceptInvite de GraphQL de Lago, el cual permite la toma de…
abraxas/lago-stripe-invoice-idorReproduce un IDOR CWE-639 en Lago v1.53.0 donde el webhook único de Stripe carga facturas sin alcance de organización, lo que permite eludir el pago…
abraxas/nextcloud-calendar-sharee-publishNextcloud 35.0.0 — un usuario con permisos de edición del calendario puede publicar el calendario del propietario en una URL no autenticada
