Какие уязвимости мы чаще всего находим в веб-приложениях

Мой коллега, специалист по анализу защищённости приложений @DikiDart собрал самые попсовые уязвимости веб-приложений на основе нашей практики в Singleton Security.

Если коротко — да, 2025 год, а набор популярных болячек максимально прост. На сотнях проектов — от банков до госов — повторяются одни и те же истории. Вот 6 уязвимостей, которые мы ловим чаще всего:

1. Client Side баги
Clickjacking, Form Hijacking, XSS, CSP дырявый или вообще отсутствует. Хочешь атаковать? Просто вставь payload — и смотри, где он отобразился.

2. IDOR
Подставляешь ID — и получаешь чужие данные — просто подарок пентестеру.

3. Атаки на пароли
Разный ответ на неверный логин и пароль — уже полдела. Дальше — Password Spraying, брутфорс, сбор почт через восстановление пароля.

4. Проблемы в загрузке файлов
Картинка с