Кто сталкивался с неожиданными уязвимостями на своих сайтах или порталах? Часто думаешь, что все проверил, а потом бах — простая ошибка валидации или настройке приводит к проблемам. У меня пару раз был кейс с неправильной конфигурацией CORS, из-за чего сторонние скрипты могли выполнять запросы от имени сайта. Проверял с помощью простого curl-запроса и в браузере Network-отладчике.

Еще часто подводит отсутствие правильных заголовков безопасности (Content-Security-Policy, X-Frame-Options и так далее). Занятно, что в разных фреймворках и CMS это делается по-разному, и не всегда «из коробки». В итоге приходится самому врубать защиту.

Кстати, что в таких случаях реально помогает — это автоматические сканеры и ручная проверка основных точек входа, особенно форм и upload-функций. И не забывайте про пользовательские права — некоторые баги появляются именно из-за того, что роли и права реализованы через костыли.

У кого какие интересные случаи были? Как проверяете и фиксите?