Web安全

oscerd/cve-2026-85249

针对 CVE-2026-85249 的可运行的 Spring Boot 和 Quarkus 复现程序，演示 camel-tika 元数据头注入到 CamelFileName 的过程，并包含受影响版本与修复版本的对照。

oscerd/cve-2026-85250

针对 Apache Camel camel-xpath（documentType=InputSource）中 CVE-2026-85250 的可运行 XXE 概念验证，包含 Spring Boot 和 Quarkus 的受影响版本与修复版本演示。

edtrackai/nextjs-supabase-stripe-security-checker

面向 Next.js、Supabase 和 Stripe 应用的本地静态安全扫描器：24 项基于 AST 的检查，用于检测泄露的密钥、缺失的 RLS 和授权以及不安全的 webhook。提供 CLI 和 GitHub Action。

hexbytee/freepbx-sqli-rce

一个利用 CVE-2025-57819 的 Python 概念验证程序，该漏洞是 FreePBX 中的未认证 SQL 注入，可串联管理员账户创建、cron 定时任务 webshell 部署以及 root 权限提升。

abraxas/openmeetings-backup-config-path

Apache OpenMeetings 9.1.0 - 高危 - 远程 - 文件写入残留 - ADMIN_BACKUP 导入在 Type.PATH 上跳过 Path.of

abraxas/openmeetings-calendar-save-idor

Apache OpenMeetings 9.1.0 - 高危 - 远程 - IDOR - LOGIN calendar save 覆盖预约并关闭公共房间

k4m1diamond/flowise-rce

针对 CVE-2025-58434 和 CVE-2025-59528 的概念验证漏洞利用代码，演示了在 Flowise 中的远程代码执行。

infobyte/ai-pentest-agent

独立自主的 AI 渗透测试代理，具备 plan→act→judge 循环、通用技能、破坏性操作门控以及可替换的 LLM 提供商，并附带一个用于演示的易受攻击 API 目标。

abraxas/jellyfin-ffmpeg-colonslash

Jellyfin Server 12.2 - 高危 - 在 .strm 植入后远程触发 - FFmpeg 参数注入 - EncodingUtils -i 遗留问题（GHSA-wwwm）

abraxas/jellyfin-playlist-itemids

Jellyfin Server 12.2 - 高危 - 远程 - IDOR - 公共播放列表 ItemIds 遗留自 GHSA-9x85，随后可未授权串流

abraxas/jellyfin-suggestions-idor

Jellyfin Server 12.2 - 高危 - 远程 - IDOR - GET /Items/Suggestions omit-userId 泄露隐藏库路径和 ID

oscerd/cve-2026-80312

针对 CVE-2026-80312 的可运行概念验证，该漏洞是 Apache Camel camel-oauth 中一个失效开放的 OAuth 防护机制，并包含受影响版本与修复版本的 Spring Boot 和 Quarkus 复现程序。

oscerd/cve-2026-80343

针对 CVE-2026-80343 的可运行概念验证，该漏洞是 camel-netty-http 安全约束大小写敏感性绕过，包含 Spring Boot 和 Quarkus 复现程序及修复验证。

abraxas/jellyfin-svg-gzip

Jellyfin Server 12.2 - 高危 - 远程 - SSRF - gzip data:image/png 遗留的 GHSA-cf3c 仍会获取 http 和 file

abraxas/plausible-editor-invite

Plausible Analytics master d44e104 - 高危 - 远程 - 权限残留 - 编辑器人员 HTML 泄露 传输 nanoid

abraxas/plausible-traffic-notify

Plausible Analytics master d44e104 - 高危 - 远程 - IDOR - PUT traffic-change-notification site_id 批量赋值