Référence structurée, des injections aux failles d'authentification : CVE réels, rapports HackerOne et prévention au niveau du code.
15 classes de vulnérabilités · 77 variantes
Injection de commandes OS (CWE-77/78, OWASP A05:2025) : exécution de commandes arbitraires sur le serveur — RCE et compromission complète.
L'injection SQL (CWE-89, OWASP A05:2025) manipule les requêtes DB pour extraire des identifiants, contourner l'auth et obtenir un RCE via xp_cmdshell.
SSTI (CWE-1336, OWASP A05:2025) : forcer le moteur de templates à exécuter des expressions contrôlées par l'attaquant — RCE sur Jinja2, Twig, Freemarker.
XXE (CWE-611) exploite les parseurs XML qui résolvent des entités externes : divulgation de fichiers, SSRF et parfois RCE. Un seul flag les élimine.
CSRF (CWE-352, OWASP A01:2025) : forcer un utilisateur authentifié à exécuter des requêtes non souhaitées en exploitant l'envoi automatique des cookies.
Open redirect (CWE-601) : un attaquant détourne un paramètre de redirection pour envoyer les utilisateurs vers des URLs contrôlées (phishing, OAuth).
Le XSS (CWE-79, OWASP A05:2025) injecte du JavaScript dans les pages servies aux autres utilisateurs — vol de session et prise de contrôle de compte.
IDOR (CWE-639), forme objet du contrôle d'accès défaillant (OWASP A01:2025) : substituer un identifiant d'objet pour atteindre les données d'autrui.
Path traversal (CWE-22) : séquences ../ pour lire /etc/passwd, clés SSH ou .env, escalader vers RCE via empoisonnement de logs ou s'échapper d'un conteneur.
Fixation de session (CWE-384, OWASP A07:2025) : prédéfinir le token de session d'une victime avant connexion pour détourner la session authentifiée.
Vulnérabilités JWT (CWE-287) : confusion d'algorithme, force brute de secret HMAC et injection de clé — contournement complet de l'authentification.
Affectation de masse (CWE-915, OWASP A06:2025) : écrire des champs jamais destinés aux utilisateurs via la liaison automatique ORM, jusqu'à role=admin.
Race conditions (CWE-362) : exploiter la fenêtre entre vérification et action — réutilisation de coupons, manipulation de solde et dépassement de limites.
Failles logique métier (CWE-840) : manipulation de prix, contournement de workflow, race conditions et empilement de coupons invisibles aux scanners DAST.
SSRF (CWE-918, OWASP A01:2025) : forcer le serveur à requêter des ressources internes — métadonnées cloud IMDSv1, services internes et escalade vers RCE.
