无服务器安全

rbidou/pyrasp

Runtime Application Self Protection for Python web servers, serverless functions and MCP servers, detecting attacks, prompt injection and data leaks…

abraxas/cve-2026-15583

Proof-of-concept client and Docker lab reproducing CVE-2026-15583, an unauthenticated confused-deputy SSRF in Grafana MCP Server that leaks…

uziii2208/cve-2026-86259

OpenMAIC 1.0.0：通过故障开放中间件和环境门控验证绕过实现未认证出站 SSRF 至云元数据服务

ivanesk315/cve-2026-28496

Docker 实验环境，复现 FOSSBilling 预认证 RCE 利用链（CVE-2026-27604 认证绕过 + CVE-2026-28496 Twig SSTI），包含 Python PoC 和已修补的对比目标。

we45/dvfaas-damn-vulnerable-functions-as-a-service

故意存在漏洞的无服务器函数，用于了解无服务器安全漏洞的具体细节

contrastsecurity/contrast

用于扫描 Java、JavaScript 和 .NET 应用程序以及 AWS Lambda 函数的 SAST CLI，可检测代码漏洞和过于宽松的 IAM 策略。

firecracker-microvm/firecracker

用于无服务器计算的安全、快速的微型虚拟机。

datadog/stratus-red-team

:cloud: :zap: 针对云端的细粒度、可操作对手模拟

serverless/serverless

用于在 AWS Lambda 上部署和管理无服务器应用程序的 CLI 框架，支持 YAML 基础设施、本地开发以及多语言运行时。

aws/serverless-application-model

将 SAM 模板转换为 CloudFormation 资源，生成 Lambda 函数、IAM 角色和策略，并内置无服务器最佳实践。

iknowjason/awesome-cloudsec-labs

很棒的免费云原生安全学习实验室。包括 CTF、自托管工作坊、引导式漏洞实验室和研究实验室。

george0papasotiriou/cve-2026-21002-serverless-cold-start-credential-leakage-via-reused-tmp

CVE-2026-21002 无服务器冷启动凭据泄露的 PoC 漏洞利用程序，演示了被复用的 Lambda /tmp 目录如何将 AWS 密钥暴露给其他函数。

george0papasotiriou/cve-2026-23007-serverless-cold-start-memory-remanence-data-leakage-

模拟 CVE-2026-23007 无服务器冷启动内存残留；演示跨 Lambda 调用的持久全局状态如何在执行之间泄露机密。

george0papasotiriou/cve-2026-22015-serverless-function-environment-variable-injection-via-event

针对 CVE-2026-22015 的 PoC：恶意事件将环境变量注入无服务器函数，覆盖机密并实现权限提升。

george0papasotiriou/cve-2026-9999-serverless-event-injection-to-code-overwrite

针对 CVE-2026-9999 的概念验证漏洞利用，演示了无服务器对象存储事件中的路径遍历漏洞，该漏洞会覆盖函数源代码以实现远程代码执行（RCE）。

owasp/dvsa

一个极度脆弱的无服务器应用

owasp/serverless-goat

OWASP ServerlessGoat：一个演示常见无服务器安全漏洞的无服务器应用。