OWASP Top 10 Vulnerabilidades

Cartões · 52

A01:2021 - Broken Access Control

Falha na imposição de permissões que permite aos usuários agir fora de seus privilégios, expondo dados não autorizados ou funções restritas.

A02:2021 - Cryptographic Failures

Falta de proteção ou uso de criptografia fraca em dados confidenciais, permitindo que invasores interceptem ou decifrem senhas e dados bancários.

A03:2021 - Injection

Inserção de dados maliciosos em comandos ou consultas, permitindo execução remota de código ou acesso indevido à base de dados.

A04:2021 - Insecure Design

Erros arquiteturais e ausência de modelagem de ameaças antes do desenvolvimento, criando falhas conceituais impossíveis de sanar só com correção de código.

A05:2021 - Security Misconfiguration

Configurações padrão inseguras, permissões excessivas ou mensagens de erro detalhadas demais, abrindo brechas acessíveis a invasores.

A06:2021 - Vulnerable and Outdated Components

Uso de dependências, bibliotecas ou sistemas legados com vulnerabilidades conhecidas, permitindo ataques diretos contra a infraestrutura.

A07:2021 - Identification and Authentication Failures

Falhas no gerenciamento de sessões ou autenticação fraca, permitindo sequestro de contas e ataques automatizados de força bruta.

A08:2021 - Software and Data Integrity Failures

Ausência de verificação da integridade de atualizações, plugins e dados críticos, facilitando adulteração de código e ataques à cadeia de suprimentos.

A09:2021 - Security Logging and Monitoring Failures

Registro insuficiente de eventos e falta de monitoramento contínuo, impedindo a detecção, contenção e auditoria de incidentes de segurança.

A10:2021 - Server-Side Request Forgery (SSRF)

Vulnerabilidade que induz o servidor a enviar requisições não autorizadas para recursos internos ou externos, contornando firewalls de rede.

SQL Injection (SQLi)

Interpolação direta de parâmetros de usuário em consultas SQL, permitindo manipulação, leitura indevida ou destruição de dados.

Cross-Site Scripting (XSS)

Injeção de scripts maliciosos em páginas web confiáveis, resultando no roubo de cookies de sessão ou desfiguração de interfaces.

Stored XSS

Script malicioso salvo permanentemente no banco de dados e executado sempre que usuários acessam a informação infectada.

Reflected XSS

Script injetado via requisição HTTP imediata, como links com parâmetros adulterados, atingindo quem clica no link.

DOM-based XSS

A vulnerabilidade ocorre quando o JavaScript no cliente processa dados de origem insegura alterando a estrutura do DOM dinamicamente.

Cross-Site Request Forgery (CSRF)

Indução do navegador autenticado da vítima a executar ações não intencionais e com privilégios em uma aplicação web confiável.

Insecure Direct Object References (IDOR)

Acesso a registros diretamente por identificadores fornecidos pelo usuário sem validar a permissão sobre aquele objeto específico.

Command Injection

Execução arbitrária de comandos do sistema operacional hospedeiro a partir de entradas não sanitizadas fornecidas pelo usuário.

Directory Traversal (Path Traversal)

Uso de sequências como pontos duplos e barras para acessar arquivos e diretórios confidenciais fora da raiz da aplicação.

XML External Entity (XXE) Injection

Processadores XML mal configurados processam entidades externas maliciosas, permitindo leitura de arquivos locais e varredura de portas internas.

Insecure Deserialization

Desserialização de dados não confiáveis sem validação estrita, que pode levar a ataques de execução remota de código ou adulteração de dados.

Hardcoded Credentials

Chaves de API, senhas ou certificados inseridos diretamente no código-fonte, facilitando a exposição em repositórios e vazamentos.

Weak Password Storage

Armazenamento de senhas em texto puro ou com algoritmos obsoletos como MD5 ou SHA1, expondo credenciais em caso de vazamento.

Password Salt and Pepper

Falta de valores aleatórios (salt) anexados às senhas antes do hash facilita ataques de tabela arco-íris contra a base de dados.

Lack of Multi-Factor Authentication (MFA)

Dependência exclusiva de usuário e senha facilita o comprometimento de contas por meio de vazamentos de credenciais.

Session Fixation

Manter o mesmo identificador de sessão antes e depois da autenticação, permitindo que o atacante sequestre a sessão do usuário.

Session Hijacking

Interceptação ou furto do cookie de sessão ativa do usuário para obter acesso total à sua conta sem necessitar de senha.

Brute Force Attack

Tentativas repetidas de adivinhação de senhas sem políticas de bloqueio de conta, resultando em acesso indevido ao sistema.

Credential Stuffing

Uso automatizado de credenciais obtidas em vazamentos anteriores contra outros serviços que não aplicam defesas de autenticação.

Default Credentials Usage

Manter senhas e usuários padrão de fábrica em componentes e serviços, permitindo controle imediato do sistema por invasores.

CORS Misconfiguration

Definição permissiva de cabeçalhos de origem cruzada que permite que sites de terceiros leiam dados confidenciais dos usuários.

Missing Content Security Policy (CSP)

Ausência de política CSP facilita ataques de injeção de scripts e execução de recursos de fontes não confiáveis no navegador.

Missing Rate Limiting

Ausência de limite de requisições por IP ou usuário, viabilizando ataques de negação de serviço, raspagem massiva e força bruta.

Mass Assignment

Vínculo automático de dados enviados pelo cliente a propriedades internas de entidades, permitindo alterar privilégios indevidamente.

Verbose Error Messages

Exibição de detalhes técnicos e rastreamento de pilha (stack traces) aos usuários, revelando detalhes arquiteturais exploráveis.

Unrestricted File Upload

Upload de arquivos sem validação de tipo ou conteúdo, possibilitando a execução de scripts no servidor web.

Open Redirect

Redirecionamento automático de usuários com base em parâmetros não validados, comumente explorado em campanhas de phishing.

Privilege Escalation (Vertical)

Ação em que um usuário comum obtém privilégios mais altos, como os de administrador, devido a falhas no controle de acesso.

Privilege Escalation (Horizontal)

Ação em que um usuário acessa dados ou executa ações pertencentes a outro usuário no mesmo nível de permissão.

Clickjacking (UI Redressing)

Técnica de sobrepor camadas invisíveis sobre páginas legítimas para induzir o usuário a clicar em botões sem perceber a ação.

Missing X-Frame-Options Header

Falta de diretivas que impedem o carregamento da aplicação em elementos de quadro (frames), viabilizando ataques de Clickjacking.

Cleartext Transmission of Sensitive Data

Envio de credenciais e dados sigilosos por conexões desprotegidas (HTTP), permitindo interceptação e ataques man-in-the-middle.

Missing Strict-Transport-Security (HSTS)

Ausência do cabeçalho que força navegadores a usarem apenas HTTPS, deixando conexões vulneráveis a ataques de rebaixamento.

Broken Object Level Authorization (BOLA)

Falta de validação de propriedade do recurso solicitado em APIs, permitindo leitura e alteração de dados de terceiros.

Broken Function Level Authorization

APIs que não validam permissões em endpoints administrativos, permitindo que usuários comuns invoquem rotas privilegiadas.

Server Information Disclosure

Cabeçalhos HTTP como Server ou X-Powered-By revelando versões exatas de software, auxiliando na escolha de exploits adequados.

Insecure TLS/SSL Cipher Suites

Uso de protocolos criptográficos defasados ou cifras inseguras, permitindo a quebra de sigilo do tráfego criptografado.

Dependency Confusion

Publicação de pacotes maliciosos em registros públicos com o mesmo nome de dependências internas para execução arbitrária de código.

Log Injection

Inserção de caracteres de quebra de linha em logs para forjar entradas ou enganar analistas e ferramentas SIEM.

Insufficient Session Timeout

Sessões que permanecem ativas indefinidamente sem expiração por inatividade, facilitando o uso não autorizado de dispositivos compartilhados.

Cookie Without HttpOnly Flag

Cookies de sessão acessíveis via JavaScript cliente, tornando-os vulneráveis à extração por meio de falhas XSS.

Cookie Without Secure Flag

Cookies confidenciais transmitidos em conexões HTTP inseguras, permitindo a interceptação em trânsito por invasores.