OWASP TOP 10
É a framework pela qual, normalmente, tanto pentesters como gestores de vulnerabilidades se guiam para testar falhas que possam eventualmente existir em aplicações web. São enumeradas, de seguida, as diversas categorias que compõem esta framework
A01: Broken Access Control - Controlo de acesso desconfigurado
É uma falha existente nos acessos por parte dos utilizadores autenticados, que por vezes não são configurados da forma mais assertiva ou reforçada. Na presença desta falha, o atacante consegue chegar à informação de outra pessoa.
Esta falha sobe a nível de criticidade, deixando de estar na 5a posição como se observa na versão anterior. Também passa a incluir o SSRF
A02: Security Misconfiguration (Configuração Insegura)
Subiu de forma bastante acentuada, sendo que este avanço reflete a crescente complexidade dos sistemas modernos. Inclui permissões mal definidas, credenciais por defeito, serviços desnecessários ativos ou sistemas por atualizar.
A03: Software Supply Chain Failures (Falhas na Cadeia de Fornecimento de Software)
Categoria nova, que evolui a antiga "Vulnerable and Outdated Components" (A06:2021) e alarga o âmbito a todo o ecossistema de dependências, sistemas de build e infraestrutura de distribuição de software. Apesar de ter poucos dados documentados a nível de ocorrências, é uma das maiores preocupações atuais e apresenta as pontuações mais altas de exploração e impacto potencial — um ataque bem-sucedido aqui compromete tudo o que depende dessa cadeia.
A04: Cryptographic Failures (Falhas Criptográficas)
Desceu para a 2a posição, mas continua a ser uma ameaça persistente. Diz respeito a falhas na proteção de dados sensíveis, como o uso de algoritmos fracos, má gestão de chaves ou ausência de encriptação em dados que deveriam estar protegidos, tanto em trânsito como em repouso.
A05: Injeção (Injection)
Desceu de posição, mas mantém-se a categoria com mais CVEs associados de todas. Inclui SQL, NoSQL, OS e LDAP injection, bem como Cross-Site Scripting (XSS). Vai desde falhas de alta frequência e impacto mais limitado, como o XSS, até falhas mais raras mas de impacto crítico, como a SQL Injection - em todos os casos, permite a um atacante inserir código malicioso e comprometer dados ou o próprio sistema
A06: Insecure Design (Design Inseguro)
Desceu algumas posições, muito por causa de melhorias na indústria ao nível do threat modeling e de um maior foco em segurança desde a fase de desenho. Continua, no entanto, a assinalar aplicações que nascem sem controlos de segurança pensados à partida, e não apenas falhas de implementação.
A07: Authentication Failures (Falhas de Autenticação)
Mantém a posição, mas com um pequeno ajuste de nome (denominada "Identification and Authentication Failures" anteriormente). O uso crescente de frameworks de autenticação padronizadas tem reduzido a incidência real, mas continua a cobrir falhas de gestão de sessão e credenciais que permitem a um atacante comprometer contas ou contornar por completo a autenticação.
A08: Software or Data Integrity Failures (Falhas de Integridade de Software e Dados)
Mantém a 8.ª posição. Cobre situações em que o sistema não verifica se atualizações, código ou dados foram adulterados - por exemplo, deserialização insegura - a um nível mais baixo e específico do que as falhas mais amplas de cadeia de fornecimento cobertas pela A03.
A09: Security Logging and Alerting Failures (Falhas de Registo e Alerta de Segurança)
O facto de não haver logs do que acontece numa aplicação, isto é, os pedidos que lhe chegam e as devidas respostas, faz com que seja bastante mais complicado responder em caso de incidente e, mais grave ainda, que um atacante consiga persistência no sistema, podendo depois escalar para outros sistemas, destruir dados, etc.
A10: Mishandling of Exceptional Conditions (Tratamento Incorreto de Condições Excecionais)
Categoria totalmente nova em 2025. Foca-se no tratamento mal feito de erros, erros de lógica de negócio e sistemas que "falham em aberto" (fail open) perante condições anómalas, isto é, situações em que, por má gestão do que é inesperado, se acaba por abrir uma porta de segurança que não devia existir.
Owasp TOP 10: project: https://owasp.org/www-project-top-ten/