API安全测试

boreas37/cve-2026-34910-poc

CVE-2026-34910/34909 — UniFi OS unauth RCE + file read via ..%2f auth bypass (CVSS 10.0, KEV, Mirai ITW)

oscerd/cve-2026-48204

CVE-2026-48204 的复现工具：Apache Camel camel-mongodb-gridfs 中 gridfs.* 头注入，可通过未认证的 HTTP 请求覆盖 GridFS 操作（枚举/读取/删除文件）（已在 4.14.8/4.18.3/4.21.0 中修复）

shoucheng3/perwendel__spark_cve-2016-9177_2-5-1

针对Spark Java Web框架的CVE-2016-9177漏洞利用工具，展示版本2.5.1中的目录遍历漏洞，用于安全测试和漏洞分析。

rootdirective-sec/cve-2026-55255-lab

用于复现CVE-2026-55255的本地Docker实验室，该漏洞是Langflow的Responses API中的一个IDOR漏洞。通过基于请求的PoC验证易受攻击版本与已修补版本中的跨用户流程执行。

jfriedli/cve-2025-6792

CVE-2025-6792的概念验证漏洞利用，演示了通过暴露的凭据和未认证的API端点，在WordPress插件中未经授权订阅Pusher频道和窃听事件。

horizon3ai/cve-2023-27532

针对Veeam Backup & Replication中CVE-2023-27532的概念验证漏洞利用，通过滥用未受保护的API端点从目标系统提取凭据。

yutusec/apisix_crack

Apisix系列漏洞：未授权漏洞（CVE-2021-45232）、默认秘钥（CVE-2020-13945）批量探测。

randomrobbiebf/cve-2024-9707

Hunk Companion <= 1.8.4 - 缺少授权导致未经身份验证的任意插件安装/激活

fuyuooumi1027/cve-2023-45857-demo

CVE-2023-45857（axios XSRF 令牌绕过）的交互式演示。在受控的开发容器环境中复现该漏洞的分步指南。

oscerd/cve-2026-46588

CVE-2026-46588 的复现工具：Apache Camel camel-couchdb CouchDb* 标头注入（操作混淆）可将仅写端点破坏为读取并删除任意文档（已在 4.14.8/4.18.3/4.21.0 中修复）

passwa11/cve-2024-26026

CVE-2024-26026：BIG-IP Next Central Manager API 未认证 SQL 注入

murataydemir/cve-2016-4014

[CVE-2016-4014] SAP Netweaver AS JAVA UDDI 组件 XML 外部实体（XXE）

crackercat/cve-2022-24112

Apache APISIX apisix/batch-requests RCE

oscerd/cve-2026-46587

CVE-2026-46587 的复现工具：Apache Camel camel-couchbase CCB_* 标头注入，可导致文档泄露、篡改以及通过 TTL 强制销毁数据（已在 4.14.8/4.18.3/4.21.0 中修复）

clemfavre/cve-2023-45612_exploit

重现一个高严重性安全问题，该问题允许在Ktor的XML序列化中进行XXE（XML外部实体）攻击。

adelittle/cve-2021-4191_exploits

针对CVE-2021-4191的漏洞利用脚本，通过GraphQL API枚举GitLab用户，适用于安全评估和验证暴露情况。

hunzi0/cve-2022-22947-rce_poc

批量url检测Spring-Cloud-Gateway-CVE-2022-22947