Guia que cruza as 10 categorias do OWASP Top 10 com as 25 fraquezas do CWE TOP 25 (MITRE). Cada item reúne conceitos, exemplos de código vulnerável e correção, casos documentados, matriz OWASP↔CWE, simuladores, terminais interativos e checklist de mitigação — com labs práticos no OWASP Juice Shop.
Fontes primárias e referências«The OWASP Top 10 is a standard awareness document for developers and web application security. It represents a broad consensus about the most critical security risks to web applications.» A edição 2025 combina 2,8M+ aplicações testadas com pesquisa comunitária para categorias sub-representadas em scanners.
O salto de +14 pontos percentuais em mapeamento CNA melhora a qualidade do ranking: menos abstrações genéricas, mais fraquezas Base/Variant acionáveis em revisão de código e triagem de patch.
Campanha UNC5537 explorou contas Snowflake com autenticação fraca e credenciais reutilizadas. Ticketmaster, Santander e dezenas de outros clientes tiveram dados exfiltrados.
Não houve zero-day — o atacante usou credenciais vazadas em ambientes onde MFA não era obrigatório por padrão. Session hijack e data exfiltration em escala industrial.
Organizações com security AI e automação encurtaram o ciclo de vida do incidente em 108 dias. O gap não é só ferramenta — é detectar, correlacionar e responder antes que logging vire arquivo morto (A09).
Prevalência por categoria — dados contribuídos ao OWASP Top 10:2025 Introduction (2,8M+ aplicações). Clique na categoria para abrir a página oficial.
| ID | Categoria | Prevalência | CWEs | Nota 2025 |
|---|---|---|---|---|
| A01 | Broken Access Control | 3,73% | 40 CWEs | SSRF incorporado nesta categoria |
| A02 | Security Misconfiguration | 3,00% | 16 CWEs | Subiu de #5 (2021) para #2 |
| A03 | Software Supply Chain Failures | — | 5 CWEs | Menor incidência nos dados, maior exploit/impact score |
| A04 | Cryptographic Failures | 3,80% | 32 CWEs | Caiu de #2 para #4 |
| A05 | Injection | — | 38 CWEs | Mais CVEs associadas; XSS alta freq / SQLi alto impacto |
| A06 | Insecure Design | — | — | Caiu de #4 para #6 |
| A07 | Authentication Failures | — | 36 CWEs | Frameworks padronizados reduzem ocorrências |
| A08 | Software/Data Integrity Failures | — | — | Integridade em runtime, abaixo de supply chain |
| A09 | Logging & Alerting Failures | — | — | Sub-representado nos dados automatizados |
| A10 | Mishandling of Exceptions | — | 24 CWEs | Nova categoria 2025 |
Uso de credenciais roubadas e credential stuffing permanecem entre os principais vetores de breach em aplicações web. Misconfiguration responde por parcela significativa dos ataques web — alinhado com A02 subindo para #2 no OWASP 2025.
«Organizations with extensive use of security AI and automation reported significantly lower breach costs and faster incident resolution.» O inverso também aparece nos dados: 97% tiveram incidentes de IA sem controles adequados — novo eixo de risco além do Top 10 clássico.
Comparativo de ranking — OWASP 2021 vs OWASP 2025.
| Pos. | OWASP 2021 | OWASP 2025 | Evolução |
|---|---|---|---|
| A01 | Broken Access Control | Broken Access Control | Mantido #1 |
| A02 | Cryptographic Failures | Security Misconfiguration | Cripto desceu |
| A03 | Injection | Software Supply Chain | Nova supply chain |
| A04 | Insecure Design | Cryptographic Failures | Reposicionada |
| A05 | Security Misconfiguration | Injection | Injection desceu |
| A06 | Vulnerable Components | Insecure Design | Componentes→supply |
| A07 | Authentication Failures | Authentication Failures | Mantido |
| A08 | Software/Data Integrity | Software/Data Integrity | Mantido |
| A09 | Logging Failures | Logging and Alerting | Ênfase alertas |
| A10 | SSRF | Mishandling Exceptions | SSRF saiu; exceções entraram |
O catálogo Known Exploited Vulnerabilities lista CVEs com exploit confirmado in-the-wild. CWE-78 (OS Command Injection) lidera em entradas — relevante mesmo em apps web com bindings nativos, parsers PDF e pipelines CI.
Para cada insight do hub (MITRE, OWASP, DBIR, IBM), pergunte: qual user story quebra se isso for explorado? Qual teste automatizado detecta? Quem é owner do controle? Sem essa ponte, intel vira slide — não sprint.
O CWE TOP 25 2025 reflete mapeamentos reais de CNAs — sem normalização forçada para View-1003 do NVD. Isso traz CWEs mais precisos (Base/Variant) ao ranking, explicando a entrada de buffer overflows clássicos (#11, #14, #16) e a saída de abstrações como CWE-119 e CWE-287.
CWE-862 (Missing Authorization) subiu 5 posições para #4 — o maior salto. CWE-476 (NULL deref) subiu 8 posições. CWE-306 (Missing Authentication) subiu 4 posições. Isso confirma que falhas de authZ/authN dominam o ecossistema web/API.
Mapeamentos para CWEs 'Discouraged' caíram de 10,19% (2024) para 5,42% (2025) — melhoria na qualidade de root cause mapping pela comunidade CVE.
CWE-79 manteve #1 apesar de +3.000 CVEs adicionais mapeadas. CWE-787 caiu de #2 para #5; CWE-20 caiu 6 posições; SSRF (CWE-918) caiu para #22 mas permanece crítico em cloud.
8ª edição do OWASP Top Ten. Metodologia data-informed + community survey: 8 categorias vêm dos dados, 2 da pesquisa comunitária (supply chain e logging/alerting sub-representados em testes automatizados).
A01 mantém #1: 3,73% das apps testadas tinham pelo menos uma das 40 CWEs de Broken Access Control. SSRF foi consolidado em A01 (saiu como categoria própria do Top 10).
A03 Software Supply Chain Failures expande A06:2021 (Vulnerable Components) para pipeline, build e distribuição. Tem as menores ocorrências nos dados mas os maiores scores médios de exploit e impacto.
A10 Mishandling of Exceptional Conditions é nova: 24 CWEs cobrindo error handling, fail-open, race conditions e estados inconsistentes após exceções.
Contribuidores de dados: Accenture, Bugcrowd, Contrast, Semgrep, Sonar, Veracode, Orca Security e outros.
O DBIR 2024 analisa milhares de incidentes reais. Credential stuffing e uso de credenciais roubadas permanecem no topo — reforçando A07 e a necessidade de MFA + rate limiting.
Misconfiguration em aplicações web responde por ~15% dos ataques web — alinhado com A02 subindo para #2 no OWASP 2025.
O relatório destaca que vulnerabilidades exploradas (não zero-days) continuam sendo o vetor principal — patch management e hardening baseline são ROI alto.
Setor financeiro: 94% dos breaches envolvem sistema web, aplicativo ou API como vetor principal.
Breaches com security AI/automação tiveram ciclo de vida 108 dias menor. Logging sem alerting (A09) perpetua MTTI alto.
43% dos breaches envolvem terceiros — supply chain não é só dependência npm, é ecossistema inteiro.
Shadow data (dados não catalogados) aparece em 35% dos breaches — correlaciona com A02 e A09.
O catálogo KEV da CISA lista vulnerabilidades com exploit conhecido in-the-wild. CWEs de memory safety e command injection dominam — relevante mesmo em apps web com bindings nativos (imagem, PDF, Node addons).
Deserialização (CWE-502) mantém 11 entradas KEV — Java, .NET e Node gadget chains continuam ativos.
Priorize patch de KEV antes de hardening genérico — ROI imediato em redução de superfície explorável.
A pesquisa anual do PortSwigger confirma que Broken Access Control não é hype — é a falha mais encontrada em testes manuais, alinhado com A01 #1.
SSRF migrou de categoria Top 10 para sub-item de A01, mas continua crescendo com adoção de microserviços e funções serverless que fazem fetch de URLs.
Business logic flaws (preço negativo, race conditions) aparecem em ~40% dos testes — A06 Insecure Design.
O Secure Software Development Framework define práticas: preparar organização (PO), proteger software (PS), produzir software seguro (PW), responder a vulnerabilidades (RV).
Threat modeling antes do sprint 1 (PW.1.2) e revisão de requisitos de segurança (PW.1.1) são práticas de alto impacto mapeáveis a A06.
Organizações maduras integram SSDF em pipeline CI/CD com gates bloqueantes — não checklist anual.
Ambos os marcos exigem medidas técnicas para proteger dados pessoais E capacidade de detectar incidentes. Logging sem alerting (A09) é gap de compliance.
ANPD orienta que exposição por misconfiguration (A02) pode exigir comunicação aos titulares se houver risco relevante.
Na prática: correlacione cada OWASP com artigo LGPD/GDPR aplicável.
Aplicações com LLM introduzem vetores fora do Top 10 web clássico: jailbreak, tool abuse, training data extraction e RAG poisoning.
Na prática: trate copilot interno como microserviço Tier-0 — threat model, logging, rate limit e revisão de system prompt.
«Federal Civilian Executive Branch agencies are required to remediate vulnerabilities identified in the CISA KEV catalog within prescribed timeframes.» Mesmo fora do setor público US, o KEV é o melhor proxy de «explorado agora» disponível gratuitamente.
Shostack enfatiza que threat model não é diagrama bonito — é atividade repetida que alimenta design seguro (A06). STRIDE, attack trees e misuse cases devem aparecer no backlog, não só no Confluence.
— Adam Shostack · Threat Modeling«The CWE Top 25 is a compilation of the most common and impactful weakness types in software. The goal is to help prioritize mitigation efforts by focusing on weaknesses that are most often exploited.» O ranking 2025 prioriza mapeamentos CNA reais — não normalização forçada do NVD.
Schneier repete há décadas: comprar ferramenta sem processo de patch, revisão e resposta não fecha risco. Os relatórios desta seção (DBIR, IBM, MITRE) quantificam o que ele descreve qualitativamente — breaches continuam por falhas conhecidas e não corrigidas.
— Bruce Schneier · Schneier on SecurityCada notícia abaixo deve virar uma ação verificável — não apenas clipping.
Ranking definitivo com 39.080 CVEs analisados. CWE-79 (XSS) mantém liderança com score 60,38 — mais que o dobro do segundo colocado.
Destaques: CNA mapping subiu de 53% para 67% (+14pp). CWE-862 (Missing Authorization) subiu 5 posições para #4. Buffer overflows clássicos retornam ao TOP 25. Mapeamentos para CWEs 'Discouraged' caíram para 5,42%.
Custo médio global cai 9% para US$ 4,4M, mas incidentes envolvendo IA sem controles atingem 97% das organizações analisadas.
Organizações com IA defensiva extensiva economizam US$ 1,9M e reduzem ciclo de vida do incidente. Shadow data e terceiros continuam amplificando impacto. Logging sem alerting perpetua MTTI alto — gap direto em A09.
Ameaças via terceiros dobraram no período. Intrusão em sistemas responde por 81% dos breaches analisados.
Exploração de vulnerabilidades conhecidas volta a crescer — reforça patch management e hardening baseline como ROI alto. Setor financeiro: 94% dos breaches envolvem web, app ou API como vetor.
8ª edição publicada com 2 categorias novas promovidas pela pesquisa comunitária e metodologia data-informed em 2,8M+ apps.
A03 Software Supply Chain Failures e A09 Logging and Alerting entram via survey — sub-representados em testes automatizados. A10 Mishandling of Exceptional Conditions é categoria inédita com 24 CWEs. SSRF consolidado em A01.
UNC5537 explorou centenas de tenants Snowflake com credenciais sem MFA obrigatório e reutilização de senhas.
Ticketmaster, Santander, Advance Auto Parts entre afetados. Não houve zero-day — vetor foi credencial vazada + configuração permissiva de autenticação. Lição direta para A07 + A02 em ambientes SaaS multi-tenant.
Backdoor inserido em liblzma após comprometimento social do maintainer solo — detectado por anomalia em sshd, não por scanner.
Atacante acumulou confiança por anos antes de inserir código malicioso. Afetou distros Linux mainstream. Marco definitivo de supply chain em open source — motivação direta para A03:2025 no OWASP Top 10.
Conteúdo 2024–2025 reforça APIs cloud-native, JWT abuse e GraphQL BOLA — alinhado a A01 como #1 em pentests manuais.
Pesquisa anual confirma IDOR em 94% dos apps testados. SSRF cresce com microserviços e serverless que fazem fetch de URLs. Business logic flaws em ~40% dos escopos — overlap com A06 Insecure Design.
Ransomware ALPHV/BlackCat via credencial Citrix comprometida sem MFA. Paralisou pagamentos de saúde por semanas.
Maior incidente do setor saúde nos EUA. Vetor inicial: credencial válida sem segundo fator em portal exposto. Impacto em cadeia: farmácias, hospitais e processamento de claims. Caso emblemático de A07 em ambientes críticos.
Até 80 hospitais potencialmente impactados por falhas em integração legada e exposição de dados clínicos.
Ambientes healthcare combinam sistemas legados, integrações HL7/FHIR mal protegidas e superfície exposta. Correlaciona A02 (misconfig) com CWE-200 (exposure) — dados clínicos sem controles proporcionais ao risco.
Nova versão do Application Security Verification Standard incorpora APIs, cloud, containers e requisitos para GenAI/LLM.
ASVS 5.0 expande cobertura para arquiteturas modernas: microserviços, serverless, service mesh e copilots internos. Use como checklist de verificação cruzada com cada categoria OWASP:2025 neste guia.
Catálogo de vulnerabilidades exploradas ativamente cresce em ritmo recorde. Software de borda e VPN lideram entradas.
CWE-78 (OS Command Injection) e memory corruption dominam KEV. Prioridade de patch para CVEs listadas deve ser < 48h — antes de hardening genérico. Correlacione com o gráfico CWE↔KEV nesta página.
Consolidação de boas práticas OAuth para SPAs, mobile e APIs — PKCE obrigatório, implicit flow removido.
OAuth 2.1 simplifica implementações seguras e elimina fluxos deprecados. Impacto direto em A07 (Authentication Failures) e A01 (Broken Access Control) em APIs que usam tokens sem validação rigorosa de audience e scope.
CWE-200 (Exposure) aparece em A02 (misconfig) e A09 (logs). CWE-502 liga A03 (supply chain) e A08 (integridade). A matriz 10×25 mostra onde priorizar esforço quando o mesmo defeito alimenta múltiplos riscos de compliance.
«OWASP Top 10 categories are mapped to CWEs to provide a deeper technical understanding of the weaknesses that can lead to each risk category.» A matriz interativa torna esse mapeamento navegável — clique filtra toda a página.
| 79 | 89 | 352 | 862 | 787 | 22 | 416 | 125 | 78 | 94 | 120 | 434 | 476 | 121 | 502 | 122 | 863 | 20 | 284 | 200 | 306 | 918 | 77 | 639 | 770 | |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| A01 | |||||||||||||||||||||||||
| A02 | |||||||||||||||||||||||||
| A03 | |||||||||||||||||||||||||
| A04 | |||||||||||||||||||||||||
| A05 | |||||||||||||||||||||||||
| A06 | |||||||||||||||||||||||||
| A07 | |||||||||||||||||||||||||
| A08 | |||||||||||||||||||||||||
| A09 | |||||||||||||||||||||||||
| A10 |
curl, sqlmap e jwt_tool no terminal didático espelham passos do Web Security Testing Guide. A diferença entre ler sobre IDOR e ver o JSON de outro usuário no terminal é o que fixa o conceito para auditoria e dev.
Cada lab do terminal mapeia para um capítulo WSTG: WSTG-ATHZ-03 (IDOR), WSTG-INPV-05 (SQLi), WSTG-SESS-10 (JWT). A saída formatada simula o que você colaria em um laudo de pentest.
O fluxo didático segue a mesma ordem da IDE Juice Shop: reproduzir → entender → corrigir → validar que o exploit falha.
Em pentest ou auditoria, cada comando bem-sucedido deve gerar: request/response redigido, timestamp, impacto (confidencialidade/integridade/disponibilidade) e CWE/OWASP mapeados. O terminal desta página simula a cadeia de reprodução.
Um achado completo inclui: descrição técnica, passos de reprodução, evidência (screenshot ou log redigido), classificação CVSS simplificada e recomendação de mitigação com referência ASVS.
Em laboratório, trate cada sessão no terminal como mini-relatório: hipótese → teste → resultado → conclusão.
Relatórios sem evidência reproduzível não sobrevivem a reteste nem a auditoria ANPD/GDPR.
Cada padrão no cofre mostra o anti-pattern exato e a correção idiomática na linguagem do exemplo. Em code review, treine o olho para o mesmo shape: concatenação em query, substring em redirect, parse sem validação.
«Juice Shop is an intentionally insecure web application for security trainings written in Node.js, Express and Angular.» Os trechos em routes/ e lib/ são os mesmos padrões encontrados em auditorias reais — apenas concentrados em um repositório didático.
Mesmo com ORM, .raw() e text() com f-string reintroduzem CWE-89.
cursor.execute(f"SELECT * FROM users WHERE email = '{email}'")cursor.execute('SELECT * FROM users WHERE email = %s', (email,))Padrão exato do Juice Shop — concatenação em template literal.
sequelize.query(`SELECT * FROM Users WHERE email = '${email}'`)User.findOne({ where: { email, password: hash(pw) } })MOVEit e Struts exploraram variantes similares em produção.
stmt.executeQuery("SELECT * FROM users WHERE id=" + userId)PreparedStatement ps = conn.prepareStatement("SELECT * FROM users WHERE id=?");
ps.setInt(1, userId);shell=True em subprocess equivale a system().
os.system(f'ping -c 1 {host}')subprocess.run(['ping', '-c', '1', host], check=True) # lista, sem shellContext matters: HTML ≠ JS ≠ URL encoding.
res.send(`<p>Olá ${req.query.name}</p>`)res.json({ greeting: escapeHtml(req.query.name) })Bypass de sanitização Angular [innerHTML] é vetor similar.
<div dangerouslySetInnerHTML={{ __html: userBio }} /><div>{userBio}</div> // React escapa por default
// ou DOMPurify.sanitize(userBio)Padrão BOLA — derive identity do token, não do path.
@app.get('/orders/{order_id}')
def get_order(order_id):
return db.get_order(order_id)@app.get('/orders/{order_id}')
def get_order(order_id, user=Depends(auth)):
o = db.get_order(order_id)
if o.user_id != user.id: raise HTTPException(403)
return oDeny-by-default: rotas sensíveis atrás de middleware explícito.
http.HandleFunc("/api/admin", adminHandler)admin := http.NewServeMux()
admin.HandleFunc("/", adminHandler)
http.Handle("/api/admin/", authz.RequireRole("admin", admin))Commons Collections gadget chain — ysoserial PoC.
ObjectInputStream ois = new ObjectInputStream(req.getInputStream());
Object obj = ois.readObject();// Use JSON + schema validation
UserDto u = mapper.readValue(req.getInputStream(), UserDto.class);
// ou ObjectInputFilter allowlistyaml.load ≠ safeLoad. vm não é sandbox real.
vm.runInContext('JSON.stringify(yaml.load(data))', sandbox)const doc = yaml.load(data, { schema: yaml.JSON_SCHEMA, maxAliasCount: 0 })
// sem vm, sem tipos customizadosJuice Shop insecurity.ts usa MD5 — mesmo antipadrão.
hashlib.md5(password.encode()).hexdigest()ph.hash(password) # Argon2 via argon2-cffi
# verify: ph.verify(hash, password)Ataque alg:none troca RS256 por none.
jwt.verify(token, publicKey) // sem algorithmsjwt.verify(token, publicKey, { algorithms: ['RS256'], issuer: 'juice-shop' })15% incidentes web — misconfig (Verizon DBIR 2024).
apiVersion: v1
kind: ConfigMap
data:
DB_PASSWORD: prod-secret-123kind: Secret
type: Opaque
# + external-secrets operator / Vault CSIAccenture AWS 2017 — bucket aberto com chaves API.
acl = "public-read"
block_public_acls = falseacl = "private"
block_public_acls = true
block_public_policy = trueCapital One — SSRF → IAM role → 106M registros.
requests.get(user_supplied_url)parsed = urlparse(url)
if parsed.hostname not in ALLOWED: raise ValueError()
if ip_address(parsed.hostname).is_private: raise ValueError()SameSite=Strict em cookies de sessão + token synchronizer.
app.post('/transfer', (req, res) => transfer(req.body))const csrf = require('csurf')()
app.post('/transfer', csrf, (req, res) => transfer(req.body))16% breaches via credential stuffing (DBIR 2024).
@app.post('/login')
def login(): ... # ilimitado@limiter.limit('5/minute')
@app.post('/login')
def login(): ...Juice Shop access.log expõe Bearer tokens.
log.info("Login OK user=" + user + " token=" + jwt)log.info("Login OK userId={}", user.getId()); // MDC, sem tokenEquifax Struts — erro verboso precedeu RCE.
except Exception as e:
return jsonify({"error": traceback.format_exc()})except Exception:
logger.exception('request failed', extra={'ref': g.request_id})
return jsonify({"error": "internal", "ref": g.request_id}), 50012 CVEs KEV em CWE-787 — parsers nativos em APIs web.
char buf[16];
strcpy(buf, user_input);char buf[16];
strncpy(buf, user_input, sizeof(buf)-1);
buf[sizeof(buf)-1] = '\0';event-stream (2018) e XZ Utils (2024) — supply chain em maintainer/dep.
"dependencies": {
"lodash": "4.17.4",
"event-steam": "1.0.0"
}"dependencies": {
"lodash": "4.17.21"
}
// package-lock.json + npm audit ci + Socket.devSLSA L3: provenance assinada antes do deploy. SolarWinds = update assinado comprometido.
- uses: actions/download-artifact@v4
with: { name: build }
- run: ./deploy.sh dist/- uses: sigstore/gh-action-sigstore-python@v1
- run: cosign verify-blob --certificate-oidc-issuer https://token.actions.githubusercontent.com dist/*Juice Shop appConfiguration.ts — CWE-306 subiu +4 no MITRE 2025.
router.get('/rest/admin/application-configuration', (req, res) => {
res.json(req.app.get('config'))
})router.get('/rest/admin/application-configuration',
security.isAuthorized(['admin']),
(req, res) => res.json(sanitizeConfig(req.app.get('config')))
)Credential stuffing 16% breaches (DBIR) — sessão deve rotacionar pós-login.
session_id = request.cookies.get('sid') or uuid4()
response.set_cookie('sid', session_id, httponly=False)session_id = secrets.token_urlsafe(32)
response.set_cookie('sid', session_id, httponly=True, secure=True, samesite='Strict')MFA FIDO2 reduz 99%+ account takeover — NIST 800-63B AAL2.
if user.Password == req.Password { issueJWT(user) }if !bcrypt.CompareHashAndPassword(user.Hash, []byte(req.Password)) { return 401 }
if !totp.Validate(req.Code, user.MFASecret) { return 403 }
issueJWT(user)O mesmo login.ts do Juice Shop é CWE-89 (SQLi) e categoria A05 (Injection). Os 25 simuladores CWE forçam vocabulário MITRE — essencial para triagem de CVE, relatórios SOC e comunicação com desenvolvimento.
O livro clássico separa bugs de flaws — design flaws (A06) vs implementation bugs (A05/A01). Os 25 simuladores CWE focam implementation; combine com abuse cases para cobrir design.
— Greg Hoglund & Gary McGraw · Exploiting Software10 categorias · + Info abre guia completo · Simulador para prática · ← → no modal
Broken Access Control
Security Misconfiguration
Software Supply Chain Failures
Cryptographic Failures
Injection
Insecure Design
Authentication Failures
Software or Data Integrity Failures
Security Logging and Alerting Failures
Mishandling of Exceptional Conditions
«Injection can occur in many contexts — SQL, LDAP, XPath, NoSQL, OS command, SMTP header, expression language.» O OWASP agrupa o risco de negócio; o CWE nomeia a fraqueza no código. A matriz que você acabou de ver une os dois.
Seacord enfatiza que CWE descreve classe de defeito — exploitabilidade depende de contexto, exposição e controles compensatórios. O TOP 25 MITRE prioriza prevalência em CVEs, não severidade no seu app específico.
— Robert C. Seacord · CERTPosição atual no MITRE TOP 25 e mudança vs. edição 2024. Posição menor = mais crítica.
Como ler: Cada linha é uma fraqueza. A seta mostra se ganhou ou perdeu posições no ranking anual. Clique para abrir o painel completo.
CWE-79 (XSS) lidera com folga. Entre as 10 primeiras, CWE-862 e CWE-352 subiram — sinal de que falhas de autorização e CSRF seguem em alta.
25 fraquezas · + Info abre guia completo · Simulador para prática · ← → no modal
O ranking agrega CVEs globais. Sua aplicação pode ter CWE-352 (CSRF) frequente e CWE-787 rara. Use o score para priorizar estudo; use o repositório para priorizar sprint.
«Common Weakness Enumeration (CWE) is a community-developed list of software and hardware weakness types. It serves as a common language for describing the root cause of vulnerabilities.» Use ao lado do CVE: CVE é instância, CWE é classe.
Cross-site Scripting (XSS)
SQL Injection
Cross-Site Request Forgery
Missing Authorization
Out-of-bounds Write
Path Traversal
Use After Free
Out-of-bounds Read
OS Command Injection
Code Injection
Classic Buffer Overflow
Unrestricted Upload
NULL Pointer Dereference
Stack-based Buffer Overflow
Deserialization of Untrusted Data
Heap-based Buffer Overflow
Incorrect Authorization
Improper Input Validation
Improper Access Control
Exposure of Sensitive Information
Missing Authentication
Server-Side Request Forgery
Command Injection
Authorization Bypass via User Key
Allocation Without Limits
«OWASP Juice Shop is probably the most modern and sophisticated insecure web application! It can be used in security trainings, awareness demos, CTFs and as a guinea pig for security tools!» O setup abaixo sobe o ambiente em menos de 2 minutos — o trabalho começa no código-fonte.
Hunt defende labs intencionalmente vulneráveis como ponte entre teoria e reflexo profissional — o mesmo princípio do Juice Shop citado em treinamentos OWASP globais. Você não aprende IDOR lendo só a definição CWE-639.
— Troy Hunt · Have I Been PwnedApós o docker compose, rode o Score Board e tente 3 challenges mapeados neste guia antes de seguir para a IDE.
Selecione um arquivo do Juice Shop: o código vulnerável fica à esquerda com contexto completo do arquivo; clique Aplicar correção para a versão segura ser digitada à direita, lado a lado. Use Validar para rodar o exploit no terminal.
«Juice Shop is an intentionally insecure web application for security trainings written in Node.js, Express and Angular.» Os trechos em routes/ e lib/ são os mesmos padrões encontrados em auditorias reais — apenas concentrados em um repositório didático.
Fluxo completo: reproduzir no terminal → entender root cause na IDE → aplicar correção digitada → validar que o exploit falha. Documente CWE, OWASP, arquivo e linha no relatório — mesmo formato de ticket Jira em time maduro.
Perguntas cruzam OWASP 2025 vs 2021, CWE em KEV e mapeamento Juice Shop. Errou? Volte ao modal da categoria, aba Casos ou Destaques, e refaça o lab correspondente.
O quiz não testa memorização — verifica se você consegue correlacionar OWASP, CWE, evidência de exploit e mitigação. Cada erro aponta para um lab específico nesta página.