Classes d'attaques

Broken Access Control

Description :

Actions d'utilisateurs en dehors des autorisations qui leur sont accordées :

Utilisateur non authentifié accédant à des parties requérant l'authentification
Utilisateur authentifié ayant accés à des parties auxquelles il ne devrait pas avoir le droit compte tenu de son rôle

Description :

Exposition (en clair ou non suffisamment protégées) de données nécessitant une protection (voir RGPD) :

mots de passe,
numéros de carte de crédit,
dossiers médicaux,
informations personnelles,
informations internes d'entreprises

Description :

En phase de conception, absence de profilage des risques inhérents au logiciel ou au système en cours de développement, et donc incapacité à déterminer le niveau de sécurité requis

Défaut de configuration lié à la sécurité Description :

L'application ou l'un de ses composants est mal configurée et devient vulnérable compte tenu d'une configuration inappropriée.

Cross Site Scripting (XSS)

Description :

Injection de code (HTML, JS) côté client (navigateur)
Pollution (visuelle, comportementale)
Récupération d'informations ((sessions, coordonnées, mots de passe, informations bancaires, etc)
Exécution d'action (à l'insu de l'utilisateur authentifié)

Cross Site Request Forgery (XSRF)

Description :