0xMarcio/cve とは何ですか？

GitHub上で最近更新されたCVE Proof of Conceptを年ごとに20件ずつ示す一覧。エクスプロイト本体は含まず、リンク先の研究リポジトリへ進む入口です。

0xMarcio/cve は商用利用できますか？

できます。MIT は寛容なライセンスで、著作権表示とライセンス表示を残せば、使用・改変・販売が可能です。

0xMarcio/cve は今もメンテナンスされていますか？

されています。最後のコミットは 1 日前です。

0xMarcio/cve はどのプログラミング言語で書かれていますか？

主に Python です（GitHub の言語統計による）。

0xMarcio/cveの一覧構成と調査の進め方

ひと目でわかる

これは何？: GitHub上で最近更新されたCVE Proof of Conceptを年ごとに20件ずつ示す一覧。エクスプロイト本体は含まず、リンク先の研究リポジトリへ進む入口です。
誰に向いている？: 0xMarcio/cveは、公開PoCの所在を素早く見つける索引として向いています。表のスター数や更新時刻は正確性の保証ではなく、READMEも個別コードの検証結果を示しません。
商用利用できる？: できます。MIT は寛容なライセンスで、著作権表示とライセンス表示を残せば、使用・改変・販売が可能です。
今もメンテナンスされている？: されています。最後のコミットは 1 日前です。
何の言語で書かれている？: 主に Python です（GitHub の言語統計による）。

回答はプロジェクトの GitHub データ（最終同期：2026年9月14日）と当サイトの分析に基づくもので、法的助言ではありません。

オープンソース詳細解説

Hysen Labs 編集部 · 2026年8月8日 · 0xMarcio/cve

READMEが示す年別ディレクトリ

0xMarcio/cveのGitHub説明は「Latest CVEs with their Proof of Concept exploits」です。READMEは「Recently updated Proof-of-Concepts」という見出しから始まり、2026、2025、2024など年ごとの節を置きます。各節は「Latest 20 of N Repositories」という形式で、その年の更新リポジトリ総数のうち直近20件だけを表に載せます。2022年以降も同じ表形式が続き、古いCVEのPoCが残る一方、新規CVEほどUpdated列が新しく見えます。

2026年欄の例では498件中20件、2025年欄では581件中20件が示されています。各行はStars、Updated、Name、Descriptionの4列で、Nameは外部GitHubリポジトリへのリンクです。Descriptionはリンク先が書いた一行要約で、0xMarcio/cveが検証した結果ではありません。0xMarcio/cve自身にPoCコード、docker-compose、pip installのような導入手順はなく、GitHub表とhomepage URLだけが入口です。

2026年表に並ぶPoCの幅

READMEの2026年表には、copy-fail-CVE-2026-31431のようなLinux kernel LPE、CVE-2026-21858のn8n Ni8mare（README説明ではCVSS 10.0）、cve-2026-41940-PoCのcPanel/WHM認証回避、cve-2026-75604-pocのNext.js Windows RCE、CVE-2026-62911のExchange pre-auth RCE、CVE-2026-41089のNetlogon CLDAPスタックバッファオーバーフロー（CVSS 9.8 CRITICAL）など、製品も攻撃種別も異なる項目が混在します。

Updated列は「6 hours ago」「28 minutes ago」「4 days ago」のような相対時刻です。Stars列はリンク先リポジトリのスター数をそのまま示し、4051スターのcopy-fail-CVE-2026-31431のように極端に高い値もあります。これらは注目度の手がかりにはなりますが、0xMarcioが内容を検証した証拠ではありません。表の上から順が優先度やCVSS順であると読み替えないことが必要です。

2025年表とReact2Shellの例

2025年欄も同じ4列構成で、581件中20件を表示します。React2Shell-CVE-2025-55182-original-pocやmsanft/CVE-2025-55182、Next.js-RSC-RCE-Scanner-CVE-2025-66478のようなNext.js/RSC関連PoCが並びます。CVE-2025-32463のsudo chroot権限昇格、CVE-2025-32756-POCのFortinet製品向けスタックバッファオーバーフロー、CVE-2025-24071_PoCのNTLMハッシュ漏えい、CVE-2025-53770-ExploitのSharePoint WebPart Injectionも載っています。

説明文は各リポジトリの自己記述であり、中国語のみの説明、空欄、短い技術メモが混在します。READMEは言語や完全性を揃えておらず、掲載基準、除外条件、重複CVEの扱いも本文からは読み取れません。2024年欄は636件、2023年514件、2022年550件と節見出しに総数だけが示され、各年20行に切り詰められています。

ホームページcve.codepwn.winとの関係

リポジトリのhomepageはhttps://cve.codepwn.win/です。README本文はGitHub上の表形式が中心で、Webサイトが同じ一覧をどう見せるか、更新頻度がREADMEと一致するかは素材からは分かりません。GitHubのpushedAtは2026-08-29付近ですが、表内のUpdatedはリンク先PoCごとの相対時刻です。

調査では、GitHub READMEの年別表で候補を絞り、CVE番号でNVDやベンダーアドバイザリへ戻る流れが現実的です。0xMarcio/cveはCVEのメタデータ、CVSS再計算、修正版パッチリンクを提供せず、PoCリポジトリへのショートカットに徹しています。

PoCコードを触る前の分離

リンク先PoCは攻撃コードや悪意あるペイロードを含む可能性があります。0xMarcio/cveはサンドボックス、ネットワーク遮断、使い捨て認証情報を提供しません。検証する場合は、対象製品の脆弱版と修正版を分けたVMを用意し、PoCのrequirements.txt、Makefile、シェルスクリプト、書き込み先、外部接続、権限要求を先に読みます。

成功判定は終了コードだけに頼らず、対象サービスのログと期待される影響の観察で行います。Copy-Fail-CVE-2026-31431-Kubernetes-PoCの説明にはAlibaba Cloud ACK、Amazon EKS、Google GKEでの検証とありますが、自社クラスタ構成で再現できるとは限りません。CVE-2026-43499-Poc-Analysisのように「教育目的のみ」と書かれていても、コード内容は別途監査が必要です。

MITライセンスと個別PoCの条件

GitHubメタデータ上、0xMarcio/cveはPython言語、MITライセンス、スター1,370、フォーク168、未解決issue 3件、defaultBranch mainと記録されています。索引リポジトリのMITと、リンク先各PoCのLICENSEや第三者コード条件は同一とは限りません。社内共有や再配布前には個別リポジトリのLICENSEを読む必要があります。

READMEにはインストール手順、一覧を生成するPythonスクリプトの配置、更新cronも説明されていません。表がどの頻度で再生成されるか、force pushで説明が変わったPoCの扱い、削除されたリポジトリの行が残るかも本文にありません。記録には参照したowner/name、commit、取得日、ファイルハッシュを残し、公開PoCを脆弱性管理チケットの唯一の根拠にしない運用が安全です。メタデータのスター数1,370も、個別PoCの品質指標ではありません。

索引として使う際の記録

0xMarcio/cveに向く用途は、CVE番号から研究用PoC候補を見つけ、NVDやベンダー通知と突き合わせることです。向かない用途は、表のURLからコードを取得して本番資産へ試すことです。最初の確認は、対象CVEの公式アドバイザリで影響バージョンを固定し、README表のowner/name（例: theori-io/copy-fail-CVE-2026-31431）を開いてcommitをpinし、隔離VMで依存と通信先を監査する流れです。

年次バンドルが巨大化する性質上、READMEは各年最新20件に限定しています。2024年欄は636件中20件、2023年514件、2022年550件と総数だけが節見出しから読み取れます。長期調査では表の20件以外をGitHub検索やcve.codepwn.win側の表示で補完する必要があり、READMEだけでは全件把握はできません。調査記録にはCVE番号、参照したowner/name、README取得日、PoCリポジトリのcommit SHAをセットで残し、表のStars数だけを採用根拠にしない運用が現実的です。同一CVEに複数PoCが並ぶ場合（CVE-2026-24061など）は、説明文と更新時刻を比較してから選びます。

編集部の結論

0xMarcio/cveは、公開PoCの所在を素早く見つける索引として向いています。表のスター数や更新時刻は正確性の保証ではなく、READMEも個別コードの検証結果を示しません。本番資産への実行用途には向かず、対象CVEの公式アドバイザリで影響版を固定し、隔離VMでowner/nameのcommitと通信先を監査してからコードを触ってください。索引自体はMITですが、リンク先PoCのライセンスは個別確認が必要です。

公式情報源

コミュニティノート