OWASP هر چند سال یک‌بار فهرستی از پرخطرترین آسیب‌پذیری‌های اپلیکیشن وب منتشر می‌کند که مرجع استاندارد صنعت است.
خلاصه‌ی ده مورد
- Broken Access Control: کاربر به منابعی دسترسی می‌یابد که نباید ببیند.
- Cryptographic Failures: ذخیره یا انتقال ناامن داده‌ی حساس.
- Injection: ورودی کاربر بدون پاک‌سازی وارد کوئری یا فرمان می‌شود.
- Insecure Design: نقص معماری، نه یک باگ ساده.
- Security Misconfiguration: تنظیمات پیش‌فرض ناامن یا دیباگ فعال در production.
- Vulnerable Components: وابستگی قدیمی و آسیب‌پذیر.
- Authentication Failures: رمز ضعیف، نبود قفل حساب یا 2FA.
- Data Integrity Failures: اعتماد به منبع تأییدنشده.
- Logging Failures: نبود لاگ برای تشخیص حمله.
- SSRF: سرور بر اساس ورودی کاربر به آدرس دلخواه درخواست می‌فرستد.
OWASP Top 10 نقطه شروع خوبی برای بازبینی امنیت است، نه یک چک‌لیست کامل.