Exploits arrive sur Kitploit

Chez Kitploit, nous recensons des outils de cybersécurité, dont beaucoup sont des exploits ou des PoC. Pour apporter davantage de valeur à l’écosystème, nous classons ces exploits, scanners et PoC et les relions aux CVE correspondantes, avec les données de vulnérabilité pertinentes pour le contexte. Nous disposons désormais d’un espace dédié pour rechercher des vulnérabilités, trouver du contenu associé et examiner le contexte avant de décider ce qui mérite une investigation plus approfondie.

Notre catalogue et les sources qui l’enrichissent

Notre point de départ est constitué des dépôts que nous collectons sur GitHub, GitLab et Bitbucket. Nous relions ce contenu aux CVE pertinentes et distinguons entre exploits, PoC, scanners, détections, correctifs, contenu informatif et recherche.

Nous enrichissons ce catalogue avec des informations provenant de plusieurs sources :

Source	Ce qu’elle apporte
CVE List	Les enregistrements officiels des CVE, descriptions, références et informations publiées par les organisations responsables de leur attribution.
NVD	La National Vulnerability Database, maintenue par le NIST, fournit un enrichissement technique tel que les métriques CVSS, les produits affectés et les références.
FIRST EPSS	Des estimations de probabilité d’exploitation et leur évolution historique.
CISA KEV	Des preuves d’exploitation connue et les actions recommandées issues de son catalogue.
OSV	Des informations sur les paquets et versions affectés, les plages de versions vulnérables et les versions corrigées lorsqu’elles sont disponibles.
Exploit-DB	Des références supplémentaires d’exploits et de PoC qui complètent les dépôts indexés par Kitploit.

L’amélioration continue fait partie de Kitploit : nous continuerons d’ajouter des sources, d’affiner la classification et d’enrichir les informations qui relient chaque vulnérabilité au travail technique de la communauté.

CVSS, EPSS et KEV : trois signaux différents

Les pages de vulnérabilité rassemblent ces signaux lorsqu’ils sont disponibles :

• CVSS décrit la gravité technique d’une vulnérabilité. Un score élevé ne suffit pas à établir qu’elle est exploitée.
• EPSS estime la probabilité d’observer l’exploitation de cette vulnérabilité dans les 30 prochains jours. Il ne s’agit pas de la probabilité que votre organisation soit attaquée.
• CISA KEV liste les vulnérabilités pour lesquelles il existe des preuves d’exploitation dans la nature.

Ce sont des dimensions complémentaires : la gravité, la probabilité et l’exploitation observée.

Visibilité pour les références qui ne sont pas encore confirmées

Un dépôt peut mentionner un identifiant CVE qui ne dispose pas encore d’un enregistrement public canonique. Kitploit le présente comme une CVE non vérifiée, avec un avertissement et des liens qui étayent la référence. Cela préserve la référence sans la présenter comme une confirmation officielle ni ajouter des scores et des métadonnées que nous n’avons pas.

L’absence dans la NVD ne signifie pas, en soi, qu’une CVE n’est pas confirmée. CVE List est notre référence pour l’identité des enregistrements ; la NVD fournit un enrichissement supplémentaire. Une CVE peut avoir un enregistrement officiel même si la NVD n’a pas encore intégré ses informations.

Commencez par une CVE que vous connaissez déjà

Recherchez une vulnérabilité que vous avez déjà étudiée et découvrez quels dépôts, références et contextes Kitploit rassemble désormais.

Vous trouverez également les derniers ajouts dans Latest Exploits sur la page d’accueil, ainsi qu’un flux RSS pour suivre les nouvelles entrées.

Explorez la nouvelle section Exploits de Kitploit

Si vous trouvez une association incorrecte ou une source manquante, faites-le-nous savoir. Vos retours nous aident à améliorer la qualité du catalogue et à décider quoi ajouter ensuite.