身份验证

abraxas/pfsense-api-enroll-autoadd

pfSense Plus MIM API 工具包 b4acd7ca - 高危 - 远程 - 权限残留 - Paramiko AutoAddPolicy 注册

abraxas/pfsense-api-example-ssl-verify

pfSense Plus MIM API 工具包 b4acd7ca - 中危 - 远程 - 权限残留 - 官方示例 verify_ssl=False

abraxas/pfsense-api-unix-sock-noauth

pfSense Plus MIM API 工具包 b4acd7ca - 高危 - 本地 - 权限残留 - unix sock enroll 无 JWT

affolter-engineering/mqattack

用于MQTT渗透测试的Rust CLI：订阅/发布、broker指纹识别、ACL探测、主题枚举、凭据暴力破解，以及通过TLS/mTLS进行Last Will注入。

joda32/adit

Active Directory recon and read-only security audit over ADWS (net.tcp/9389), in Go

abraxas/spark-rest-auth-bypass

Apache Spark 4.2.0 - 高危 - 远程 - 权限残留 - standalone REST 忽略 spark.authenticate

affolter-engineering/ldapin

用于安全评估的CLI工具，执行基本LDAP任务

abraxas/hyperswitch-unsigned-webhook

针对未认证的 Hyperswitch Worldpayxml webhook 漏洞（CWE-345/306）的概念验证，该漏洞可伪造 SETTLED XML，从而在未经 PSP 捕获的情况下将支付标记为成功。

abraxas/lago-invite-ato

一个概念验证实验环境，演示了 Lago GraphQL acceptInvite 认证绕过漏洞，该漏洞可通过未经认证的邀请接受实现跨组织账户接管。

abraxas/nextcloud-federated-ocm-token

Nextcloud 35.0.0 — 联邦共享密钥是一个未限定作用域的应用密码，可访问共享者的整个文件树

abraxas/sonic-gnmi-noauth

记录并复现 SONiC gNMI 中的 fail-open 认证漏洞：空的 UserAuth 映射允许未经认证的 gNMI Set 和 gNOI 写入，并附带一个 loopback 实验环境。

abraxas/uptime-kuma-setup-toctou

Uptime Kuma 首次运行 Socket.IO 设置中 TOCTOU 竞态条件的 PoC，允许未认证攻击者植入隐藏的第二管理员并禁用认证。

abraxas/vaultwarden-ip-header-spoof

Vaultwarden 1.37.3 默认 X-Real-IP trusted-local 在 Docker NAT 环境下绕过登录速率限制

abraxas/element-fragment-guest

Element Web v1.12.29 - 高危 - 远程 - 会话 - 片段访客凭据在 whoami 之前清除真实会话

abraxas/phpmyadmin-config-set-2fa

phpMyAdmin 5.2.3 - 高危 - 远程 - 2FA - config/set 清除双因素认证

abraxas/phpmyadmin-webauthn

phpMyAdmin 5.2.3 - 高危 - 远程 - 2FA 跳过 - WebAuthn 验证流程可被跳过