Аудит безопасности веб‑приложения: 12 типовых уязвимостей и план исправлений

Разбираем, что чаще всего находят на проектах: от авторизации и сессий до логирования и инфраструктуры. Показываем, как превратить находки в понятный план работ.

Типовые уязвимости (верхнеуровнево)

Аутентификация/авторизация: слабые роли, отсутствие принципа наименьших привилегий.

Сессии и токены: неправильные настройки cookie, долгоживущие токены, отсутствие ротации.

Инъекции и валидация: SQL/NoSQL инъекции, XSS, недостаточная валидация входных данных.

Инфраструктура: открытые порты, секреты в переменных/репозитории, слабые политики доступа.

Как выглядит план исправлений

Приоритизация по риску и вероятности (Critical/High/Medium/Low).

Группировка задач по этапам, чтобы не «сломать» продукт и релизы.

Повторная проверка (ретест) и базовые security‑гейты в CI/CD.