Vulnerability terburuk di web app. Injection, broken auth, XSS. Wajib hafal untuk pentester.
Open Web Application Security Project. Komunitas non-profit. Publish Top 10 list of web vulnerability paling kritis. Update tiap beberapa tahun. Standar industri untuk web security.
User akses resource yang seharusnya tidak boleh. Contoh: ubah URL user ID dari 123 ke 124 dan lihat profile orang lain. Mitigasi: server-side authorization check yang ketat.
Data sensitif tidak dilindungi dengan baik. Contoh: simpan password plain text, pakai algoritma lemah, kirim data sensitif via HTTP. Mitigasi: enkripsi at-rest dan in-transit.
Input user dieksekusi sebagai code. SQL injection paling klasik. Command injection. NoSQL injection. Mitigasi: parameterized query, input validation, ORM yang aman.
Cross Site Scripting: inject JavaScript ke browser korban. Cross Site Request Forgery: paksa user lakukan action di situs lain. Mitigasi: output encoding (XSS), CSRF token (CSRF).