Os Vilões Mais Comuns: Entendendo OWASP Top 10 (Versão Dev)

1. A01:2021 - Broken Access Control 🚪

Ocorre quando restrições sobre o que usuários autenticados podem fazer não são devidamente aplicadas. Isso permite que usuários acessem funcionalidades ou dados para os quais não têm permissão, explorando falhas como URLs desprotegidas, IDs sequenciais em URLs que permitem acesso a outros registros, ou falta de checagem de permissão no backend.

2. A02:2021 - Cryptographic Failures (antes Sensitive Data Exposure) 📄

Cobre falhas relacionadas à criptografia (ou ausência dela) que levam à exposição de dados sensíveis, tanto em trânsito (sem HTTPS) quanto em repouso (senhas em texto plano, dados de cartão de crédito não criptografados).

A regra de ouro: proteja dados sensíveis como se fossem seus. Use HTTPS sempre, hash forte e com salt para senhas (ex: Argon2, bcrypt), e criptografia para dados sensíveis em repouso quando necessário.

3. A03:2021 - Injection 💉

Falhas de injection ocorrem quando dados não confiáveis são enviados para um interpretador como parte de um comando ou query. O mais famoso é o SQL Injection, mas também pode acontecer com NoSQL, OS, LDAP, XSS (Cross-Site Scripting) etc.

Exemplo (SQL Injection - Conceitual em Node.js com string concatenada):

// ROTA VULNERÁVEL
app.get('/user/:id', (req, res) => {
  const userId = req.params.id; // Ex: usuário digita '1 OR 1=1'
  const query = `SELECT * FROM users WHERE id = ${userId}`; // PERIGO!
  // ... executa a query ...
});

Se um atacante insere algo como ' OR '1'='1 no lugar do ID, a query pode se tornar SELECT * FROM users WHERE id = '' OR '1'='1', retornando todos os usuários! A defesa principal? Parameterized Queries (Prepared Statements) e Input Validation.

Cross-Site Scripting (XSS) é um tipo específico de injection onde scripts maliciosos são injetados em sites confiáveis. Ocorre quando sua aplicação inclui dados não confiáveis em uma página web sem a devida validação ou "escape" (codificação).

// URL: http://example.com/search?query=<script>alert('XSS_ALERT!')</script>

// No template (vulnerável):
<div>
  Você buscou por: {{ unsafeQueryParameter }}
</div>

Se unsafeQueryParameter não for devidamente tratado (encoded), o script será injetado na página e executado no navegador do usuário. A defesa envolve Output Encoding apropriado.

4. A04:2021 - Insecure Design 🏗️

Esta é uma categoria mais ampla que foca em falhas relacionadas a deficiências no design e arquitetura de segurança da aplicação. Não se trata de uma falha de implementação específica, mas de riscos que poderiam ter sido evitados com um planejamento de segurança mais robusto desde o início (Shift Left Security).

5. A05:2021 - Security Misconfiguration ⚙️

Configurações de segurança incorretas são uma das vulnerabilidades mais comuns. Isso pode incluir desde deixar features de debug habilitadas em produção, usar contas padrão, não aplicar patches de segurança, ou ter listagem de diretórios habilitada no servidor web.

6. A06:2021 - Vulnerable and Outdated Components 🧩

Aplicações modernas dependem fortemente de componentes de terceiros (bibliotecas, frameworks). Se esses componentes possuem vulnerabilidades conhecidas e não são atualizados, sua aplicação herda esses riscos.

7. A07:2021 - Identification and Authentication Failures (antes Broken Authentication) 🔑

Vulnerabilidades relacionadas à confirmação da identidade do usuário, autenticação e gerenciamento de sessão. Podem permitir que atacantes comprometam senhas, chaves, tokens de sessão, ou explorem falhas de implementação para assumir identidades de outros usuários.

8. A08:2021 - Software and Data Integrity Failures ⛓️

Esta categoria foca em falhas relacionadas à integridade do software e dos dados, como código ou infraestrutura que não protege contra alterações não autorizadas. Isso inclui, por exemplo, atualizações de software inseguras ou a inclusão de código de fontes não confiáveis sem verificação.

9. A09:2021 - Security Logging and Monitoring Failures 🕵️

Sem logging e monitoramento adequados, é difícil detectar e responder a incidentes de segurança. Muitas vezes, as brechas só são descobertas por terceiros.

10. A10:2021 - Server-Side Request Forgery (SSRF) 💻➡️

Uma vulnerabilidade de SSRF ocorre quando um atacante consegue forçar o servidor a fazer requisições para um local escolhido por ele. Isso pode ser usado para vazar informações, escanear a rede interna ou interagir com serviços internos que não deveriam estar expostos.