Pig-Tail/security-research
GitHub: Pig-Tail/security-research
一个遵循协调披露原则的漏洞研究仓库，公开已修复CVE的PoC代码与技术文档，供防御者验证补丁有效性。
Stars: 0 | Forks: 0
# security-research
包含我通过协调披露发现并报告的漏洞的概念验证（PoC）代码和技术文档。**此处的所有内容均已公开：厂商的安全公告已发布，且已提供修复版本。**不包含任何处于禁发期或草稿阶段的内容。
这些 PoC 是*验证测试工具*，而非武器化的 exploit：每个 PoC 都针对**本地自有的实例**运行，并通过良性的标记（标记文件、预置的“secret”记录、策略评估断言）来证明缺陷的存在。它们均不针对第三方系统，也不执行任何破坏性或持久性操作。
— **Pig-Tail** · 进攻性安全工程师与漏洞研究员 ·
## 索引
| CVE / 公告 | 项目 | 类别 (CWE) | 修复版本 | PoC |
|:--|:--|:--|:--|:--|
| [CVE-2026-14620](CVE-2026-14620-webpack-dev-server/) | webpack-dev-server | 跨源 CSRF → 任意文件打开 (CWE-352/CWE-749) | 5.2.6 | ✅ 可运行 |
| [CVE-2026-63505](CVE-2026-63505-probo/) | getprobo/probo | 通过未验证 FK 导致的跨租户 IDOR (CWE-639) | 0.223.1 | ✅ 可运行 |
| [GHSA-cppp-g98f-gfpp](GHSA-cppp-g98f-gfpp-probo/) | getprobo/probo | ADMIN→OWNER 权限提升 (CWE-269/CWE-863) | 0.223.1 | ✅ 可运行 |
随着各厂商发布其安全公告，此处会添加更多条目。
## 披露伦理
所有发现均首先私下报告给维护者（GitHub 私密漏洞报告或厂商的安全联系方式），经过分类、修复，然后才予以发布。PoC 在修复后发布，以便防御者能够验证自己的补丁——而不是为了给攻击者提供武器。
标签：EVTX分析, Maven, PoC, Web安全, 暴力破解, 漏洞验证, 蓝队分析, 防御加固