身份与访问管理 (IAM)

abraxas/joomla-levels-api

Joomla 6.1.3 - 高危 - 远程 - ACL - GET /api/v1/users/levels 泄露查看级别

abraxas/lago-stripe-invoice-idor

复现了 Lago v1.53.0 中的 CWE-639 IDOR 漏洞，其中 Stripe 一次性 webhook 在加载发票时未进行组织范围限定，从而实现了跨组织支付绕过。包含一个回环实验环境。

7acini/cve-2026-102261

非破坏性 Go 验证器，用于检查 Camaleon CMS 实例是否在媒体裁剪端点中应用了 CVE-2026-102261 的授权修复。

abraxas/grafana-signup-invite-join

Grafana OSS 13.2.3 - 高危 - 远程 - 邀请加入 - SignUpStep2 无需邀请码即可加入待处理的组织邀请

kavryxdev-group/enterprise-abac-gateway

Go 语言实现的零信任反向代理与 ABAC 授权网关，内置 OPA 策略评估与分布式令牌吊销功能。

abraxas/openmeetings-soap-user-rights

Apache OpenMeetings 9.1.0 - High - Remote - Privilege leftover - SOAP POST /user copies UserDTO.rights including ADMIN

abraxas/sqlite-fj-using-auth

SQLite 3.53.4 - 高危 - 本地 - 权限残留 - FULL JOIN USING 跳过 sqlite3AuthRead

nihal799/zttp

零信任SSH堡垒代理，支持基于Vault的密钥管理、RBAC策略强制、完整会话录制，以及用于对生产基础设施进行可审计访问的管理员TUI。

abraxas/forgejo-keys-idor

Forgejo 16.0.5 - 高危 - 远程 - IDOR - GET /api/v1/user/keys/{id} 返回其他用户的 SSH 密钥和部署密钥

htrxuan/hdwebmobile-booking-appointments

通过 WooCommerce 销售可预订服务与预约——从架构上封堵 CVE-2026-2931。

abraxas/joomla-articles-catid

Joomla 6.1.3 - 高危 - 远程 - ACL - POST /api/v1/content/articles 忽略按分类的 ACL

mrjhaxcore/cve-2025-34077

WordPress Pie Register ≤ 3.7.1.4 - 管理员权限提升(未认证)

abraxas/opnsense-captive-lastseen-roam

OPNsense 26.7.6 - High - Remote - Network-access bypass - captive lastseen roam

abraxas/pfsense-ldap-name-collision

pfSense CE 2.9.0-DEVELOPMENT - 高危 - 远程 - 权限残留 - LDAP 管理员名称

watchtowrlabs/kentico-xperience13-authbypass-wt-2025-0011

用于通过 POST 请求分析检测 Kentico Xperience 13 CMS Staging Service 中身份验证绕过漏洞（WT-2025-0011）的 Python 脚本。

schroeder-sys/pantheon-souverainete

Infrastructure cloud modulaire, redondante et 100% souveraine pour s'affranchir des GAFAM. Guides techniques, architecture Zero-Trust et chiffrement…