Пробовал недавно покопаться в новинках уязвимостей — заметил, что классические дырки по типу XSS и SQL-инъекций по-прежнему в топе, но теперь к ним добавились новые фишки с API и цепочками авторизации. Раньше можно было просто глянуть на input-поля и поискать баги, сейчас же многое связано с неправильной конфигурацией OAuth, недостаточной проверкой токенов и проблемами в CORS.

Проверяю по-прежнему с Burp Suite и разными сканерами, но больше внимания уделяю логике приложения и взаимодействию front-end/backend — иногда ошибка не в коде, а в том, как оформили права доступа. Например, на одном проекте заметил, что админские функции спокойно доступны с обычного аккаунта через нестандартный endpoint — классика.

Вариант решения обычно простой, если есть возможность — ограничить доступ по урлам, жестко проверять права и не доверять внешним API. Ну и не забываем обновлять все зависимости, часто в апдейтах фиксят важные уязвимости.

Кто чего еще заметил нового в этом году по уязвимостям, особенно в публичных API?