## Vulnerabilities


### OWASP

OWASP (от англ. Open Worldwide Application Security Project) — это международный некоммерческий фонд, посвященный безопасности веб-приложений.

#### A01:2025 — Broken Access Control (Нарушение контроля доступа)
Пользак видит или изменяет данные, к которым не имеет прав (н/р, рядовой юзер заходит в админку, подменив ID в URL).

#### A02:2025 — Security Misconfiguration (Ошибочная конфигурация)
Оставленные стандартные пароли, открытые S3-корзины, включенный debug-режим, незакрытые порты.

#### A03:2025 — Software Supply Chain Failures (Сбои в цепочке поставок)
Уязвимости в сторонних библиотеках, npm/pip пакетах, Docker-образах или CI/CD пайплайнах.

#### A04:2025 — Cryptographic Failures (Криптографические сбои)
Хранение паролей в открытом виде, использование слабых алгоритмов (MD5, SHA-1), отсутствие HTTPS, короткие ключи шифрования.
Опасность: Перехват трафика и расшифровка баз данных при взломе.

#### A05:2025 — SQL-инъекции, OS-команды, NoSQL, LDAP. 
Злоумышленник подставляет код в строку запроса, которая выполняется сервером.
Опасность: Захват базы данных или сервера. Всегда в топе, но теперь опустилась, так как фреймворки стали лучше защищать.

#### A06:2025 — Insecure Design (Небезопасный дизайн)
Ошибка закладывается на этапе архитектуры (н/р, нет лимита на количество запросов, нет изоляции тенантов).
Опасность: Это не баг в коде, а дыра в логике. Исправлять требует переписывания всей системы.

#### A07:2025 — Authentication Failures (Сбои аутентификации)
Подбор паролей (Brute Force), отсутствие MFA, уязвимости сессий (перехват JWT-токенов), незащищенные Recovery-вопросы.
Опасность: Кража аккаунтов и выдача себя за другого пользователя.

#### A08:2025 — Software or Data Integrity Failures (Нарушение целостности)
Суть: Отсутствие проверки подписей (signatures) у обновлений или CI/CD артефактов. Подмена кода во время деплоя.
Опасность: Злоумышленник может вставить вредоносный код в процессе обновления приложения.

#### A09:2025 — Security Logging and Alerting Failures (Провалы в логировании и мониторинге)
Суть: Приложение не пишет логи взломов, ошибки аутентификации или опасные действия. 
Опасность: Вы узнаете о взломе через 6 месяцев. Невозможность расследования инцидента.

#### A10:2025 — Mishandling of Exceptional Conditions (Некорректная обработка исключений)
При ошибке пользователю показывается стектрейс, путь к файлам на сервере, структура БД или дамп переменных.
Опасность: Утечка внутренней архитектуры. Эта информация облегчает хакеру подготовку следующей атаки.

------

[ << 2.5.7 Web Protection Theme](./2.5.7%20WebProtection.md) | [Back To iTWiki Contents](https://github.com/eldaroid/iTWiki) | [RSA Theme >>](./RSA.md) 
|---|---|---|