認証と認可

tc4dy/cve-2026-29000-poc-exploit

CVE-2026-29000 – pac4j-jwt 認証バイパス (CVSS 10.0)。公開鍵による JWE ラッピングを悪用したワンクリックの管理者偽造。設定、ユーザー、シークレットが漏洩。Keep-alive、プロキシ、カスタム JWKS に対応。教育目的の PoC エクスプロイトツール。

aymanelsherif/oracle-oam-authentication-bypas-exploit

Oracle Access Manager のパディングオラクル脆弱性 (CVE-2018-2879) のエクスプロイト

34zy/cve-2025-52970

CVE-2025-52970 - FortiWeb認証バイパスからリモートコード実行へのエクスプロイト

ajinabraham/oauth-request-crafter

OAuthリクエストクラフター

abraxas/mysql-set-role-leftover

MySQL Community Server 26.7.0 - 高 - SET ROLE ALL EXCEPT leftover FILE - mysqld UID write

chelof100/acp-framework-en

Agent Control Protocol (ACP) — 公式英語仕様。自律型AIエージェント向けの暗号学的に検証可能な認可アーキテクチャ。

anthonyk2923/cve-2026-94609

CVE-2026-94609の解説記事とPoC。これはauthentikの権限昇格脆弱性で、add_user_to_group権限を持つユーザーがGroups API経由でスーパーユーザーグループに参加できる。

ayantaker/cve-2023-2986

CVE-2023-2986 の脆弱性に対する Proof of Concept - WordPress の 'Abandoned Cart Lite for WooCommerce' プラグイン

sleepycofe/cve-2021-26102

FortiWANの認証バイパスPoC (https://www.fortiguard.com/psirt/FG-IR-21-048)

henry4e36/cve-2022-1388

F5 BIG-IP iControl REST 認証バイパスの脆弱性

abraxas/nextcloud-webhook-tokenneeded

Nextcloud 35.0.0 — 委任されたWebhooks管理者がwebhook更新のtokenNeeded経由で1時間有効な管理者アプリパスワードを発行可能

abraxas/joomla-levels-api

Joomla 6.1.3 - 高 - リモート - ACL - GET /api/v1/users/levels が閲覧レベルを漏洩する

bombobombone/cve-2026-102973

MediaWikiのaction=emailuser APIにおけるEmailUserAuthorizeSendフックのバイパス（CVE-2026-102973）を実証する、サニタイズ済みレポートとローカル概念実証スクリプト。

bombobombone/cve-2026-102975

CVE-2026-102975 のサニタイズ済みレポートおよびローカル PoC スクリプト。これは MediaWiki RevisionDelete API の認可バイパスであり、suppressrevision 権限なしで抑制解除を可能にする。

abraxas/grafana-signup-invite-join

Grafana OSS 13.2.3 - 高 - リモート - 招待参加 - SignUpStep2 がコードなしで保留中の組織招待に参加する

aeifkz/cve-2022-22978

CVE-2022-22978 POC プロジェクト