Dieses Dokument ordnet jeden Angriff (www-community) und jedes Cheat Sheet (CheatSheetSeries) von OWASP einer Sicherheitskategorie zu, jeweils mit einem Link auf die kanonische öffentliche Seite. Innerhalb einer Kategorie teilen sich gleichwertige Einträge eine einzige Zeile der Checkliste: Angriffe und Cheat Sheets, die dasselbe Risiko behandeln, stehen kommagetrennt zusammen. Einträge ohne direktes Gegenstück stehen in einer eigenen Zeile.
- Die Urheberschaft liegt bei OWASP. Die Angriffe stehen unter
https://owasp.org/www-community/attacks/<attack>, die Cheat Sheets unterhttps://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html.
1. Injection (allgemein)
- Code Injection, Injection Prevention, Injection Prevention in Java (interpreter)
- Direct Dynamic Code Evaluation (Eval Injection) (interpreter)
- Function Injection (interpreter)
- Resource Injection (network)
- Special Element Injection (interpreter)
- Custom Special Character Injection (interpreter)
- Comment Injection Attack (interpreter)
- Parameter Delimiter (interpreter)
- Server-Side Includes (SSI) Injection (interpreter)
- Input Validation, Bean Validation (interpreter)
2. SQL- und Datenbank-Injection
- SQL Injection, SQL Injection Prevention, Query Parameterization (sql)
- Blind SQL Injection (sql)
- SQL Injection Bypassing WAF (sql)
- RSQL Injection (interpreter)
- Database Security (sql)
- NoSQL Security (interpreter)
3. OS-Command-Injection
- Command Injection, OS Command Injection Defense (interpreter)
4. LDAP-, XPath- und XML-Injection
- LDAP Injection, LDAP Injection Prevention (interpreter)
- XPATH Injection (interpreter)
- Blind XPath Injection (interpreter)
- XML External Entity (XXE) Prevention, XML Security (xml)
5. Cross-Site Scripting (XSS)
- Cross Site Scripting (XSS), Cross Site Scripting Prevention, XSS Filter Evasion (browser)
- DOM Based XSS, DOM based XSS Prevention, DOM Clobbering Prevention (browser)
- Reflected DOM Injection (browser)
- XSS in Converting File Content to Text (browser)
- XSS in subtitle (browser)
- Cross Frame Scripting (browser)
- Cross Site Tracing (browser)
- Content Security Policy (browser)
6. Cross-Site Request Forgery (CSRF) und Clickjacking
- Cross Site Request Forgery (CSRF), XSRF, Cross-Site Request Forgery Prevention (http-request)
- Clickjacking, Clickjacking Defense (browser)
- Cross Site History Manipulation (XSHM) (browser)
- Form action hijacking (network)
- Reverse Tabnabbing (browser)
7. Um- und Weiterleitungen
- Open Redirect, Unvalidated Redirects and Forwards (network)
- Execution After Redirect (EAR) (browser)
8. Zugriffskontrolle und Autorisierung
- Insecure Direct Object Reference (IDOR), Insecure Direct Object Reference Prevention (access-control)
- Forced browsing (access-control)
- Web Parameter Tampering (access-control)
- Setting Manipulation (access-control)
- Authorization (access-control)
- Transaction Authorization (access-control)
- Mass Assignment (access-control)
- Multi-Tenant Application Security (access-control)
9. Authentifizierung und Zugangsdaten
- Brute Force Attack, Password Spraying Attack, Bot Management and Anti-Automation (credential-endpoint)
- Credential stuffing, Credential Stuffing Prevention (credential-endpoint)
- Qrljacking (federation)
- Authentication, Multifactor Authentication (access-control)
- Password Storage (access-control)
- Forgot Password, Choosing and Using Security Questions (access-control)
- Email Validation and Verification in Identity Systems (access-control)
10. Session-Management
- Session fixation, Session hijacking attack, Session Prediction, Session Management (access-control)
- Cookie Theft Mitigation (access-control)
11. Identitätsföderation (OAuth, SAML und JWT)
- OAuth 2.0 Protocol (federation)
- SAML Security (federation)
- JSON Web Token for Java (federation)
12. Kryptografie und Transportsicherheit
- Cryptanalysis, Cryptographic Storage, Key Management (crypto)
- Manipulator-in-the-Middle (MITM), Transport Layer Security (transport)
- HTTP Strict Transport Security (transport)
- Pinning (transport)
13. Server-Side Request Forgery (SSRF)
14. Path Traversal und Dateiverarbeitung
- Path Traversal (path)
- Binary Planting (path)
- Windows ::DATA Alternate Data Stream (path)
- Embedding Null Code (path)
- File Upload (upload)
15. Missbrauch des HTTP-Protokolls (Header, Caching, Splitting)
- HTTP Response Splitting, Cross-User Defacement (interpreter)
- HTTP Security Response Headers (aufgeteilt auf browser, transport, http-request und access-control)
- Cache Poisoning (interpreter)
- IP Spoofing via HTTP Headers (http-request)
16. Kodierung und Content-Spoofing
- Unicode Encoding (interpreter)
- Double Encoding (interpreter)
- Content Spoofing (browser)
17. CSV- und Tabellenkalkulations-Injection
- CSV Injection (csv)
18. CORS (Cross-Origin Resource Sharing)
- CORS OriginHeaderScrutiny (http-request)
- CORS RequestPreflightScrutiny (http-request)
19. Denial of Service
20. Speichersicherheit und nativer Code
- Buffer Overflow Attack, Buffer Overflow via Environment Variables (c-cpp)
- Format string attack (c-cpp)
21. Mobile Code und Ausführung nicht vertrauenswürdigen Codes
- Mobile code invoking untrusted mobile code (interpreter)
- Mobile code non-final public field (java)
- Mobile code object hijack (java)
22. Deserialisierung
- Deserialization (aufgeteilt auf python, ruby, php, java und dotnet)
23. Malware und clientseitige Bedrohungen
- Man-in-the-browser attack, Browser Extension Security Vulnerabilities (browser)
- Third Party JavaScript Management (browser)
24. Logging, Abstreitbarkeit und Fehlerbehandlung
- Log Injection, Logging, Application Logging Vocabulary (interpreter)
- Repudiation Attack (interpreter)
25. Geschäftslogik und Missbrauch von Funktionen
Geschäftslogik und Missbrauch von Funktionen haben keine einzelne Angriffsfläche im Code, die eine Spezialisierung pro Angriffsfläche verteidigen könnte: Die Abwehr liegt im anwendungsspezifischen Design, nach derselben Überlegung, die auch die Bedrohungsmodellierung des Projekts leitet. Verschoben nach "Außerhalb des Geltungsbereichs".
26. KI-, LLM- und Agentensicherheit
- Prompt Injection, LLM Prompt Injection Prevention (llm)
- MCP Tool Poisoning, MCP (Model Context Protocol) Security (llm)
- HITL Dialog Forging (Lies-in-the-Loop) (llm)
- AI Agent Security, Secure Coding with AI (llm)
- Retrieval-Augmented Generation (RAG) Security (llm)
- Secure AI/ML Model Ops (llm)
- AML and Sanctions Compliance for AI Agent Payments (llm)
27. Prototype Pollution und Cross-Site Leaks
- Prototype Pollution Prevention (javascript)
- Cross-site leaks (XS-Leaks) (browser)
28. Frameworks und Sprachplattformen
- Django Security, Django REST Framework (python)
- Ruby on Rails (ruby)
- Laravel (php)
- Symfony (php)
- Java Security (java)
- DotNet Security (dotnet)
- NodeJS Security (javascript)
- PHP Configuration (php)
29. Web-Frontend und Browser
- HTML5 Security (browser)
- AJAX Security (browser)
- Securing Cascading Style Sheets (aufgeteilt auf access-control und browser)
30. APIs und Dienste
- GraphQL (api-endpoint)
- gRPC Security (api-endpoint)
- WebSocket Security (api-endpoint)
31. Cloud, Container und Infrastruktur
Die Konfiguration von Containern und Workloads ist Configuration as Code, die Entwickler mit der App ausliefern (Dockerfile, Compose, securityContext des Pods), eine echte Angriffsfläche, die harden behebt und verify nachweist, und gehört deshalb zum Geltungsbereich. Die Cluster-Administration (RBAC, etcd, API-Server, Admission, Netzwerksegmentierung) ist Sache der Betreiber und bleibt außerhalb des Geltungsbereichs.
- Docker Security, Node.js Docker (container)
- Kubernetes Security (container: der Teil zu Workloads und Pods. Die Cluster-Administration bleibt außerhalb des Geltungsbereichs)
- Serverless / FaaS Security (serverless)
32. Lieferkette und CI/CD
- NPM Security (interpreter)
- Dependency Graph & SBOM Best Practices, Vulnerable Dependency Management (interpreter)
33. Secrets und Konfiguration
Die Verwaltung von Secrets ist Betriebsaufgabe: Vaults, CI/CD, Cloud-Konfiguration, Rotation. Der einzige Aspekt auf Code-Ebene (ein fest im Quellcode hinterlegtes Secret) ist Sache eines deterministischen Durchlaufs, keiner Risiko-Spezialisierung. Verschoben nach "Außerhalb des Geltungsbereichs".
34. Prozesse, Design und Governance
Der Schutz der Privatsphäre von Nutzern ist eine Frage von Richtlinien und Design (Datenminimierung, Transparenz, Aufbewahrung), keine Angriffsfläche im Code, die eine Spezialisierung verteidigt. Verschoben nach "Außerhalb des Geltungsbereichs".
35. Zahlungen und Compliance
36. Embedded-Systeme, IoT und Spezialgebiete
Die Sicherheit von Fahrzeugen und Drohnen gehört zum Gebiet der Embedded-Systeme (CAN-Bus, OTA-Firmware, Integrität von Sensoren und Funk, physischer Zugang), nicht zum Quellcode von Web- und API-Anwendungen, den Lagune auditiert. Verschoben nach "Außerhalb des Geltungsbereichs".
Außerhalb des Geltungsbereichs (keine Angriffsfläche im Code)
Diese Einträge sind kein Einsatzgebiet für Spezialisierungen und haben kein Kontrollkästchen: Es geht um Governance, Prozesse, betriebliche Härtung oder die Nutzung von Frameworks, ohne eine einzelne Angriffsfläche im Code, die eine Spezialisierung pro Angriffsfläche verteidigen könnte. Ihr Sicherheitswert ist real, liegt aber in Prozessen und Architektur (oder, bei einem Framework, im eigenen Skill der jeweiligen Sprache), nicht in einer Abwehr, die dieser Katalog mitliefert. Sie stehen hier als Referenz, nicht als offene Aufgaben.
- Authorization Regression Testing, Authorization Testing Automation
- JAAS
- Denial of Service, Denial of Service
- HTTP/2 Reset Attack
- Traffic flood
- Web Service Amplification Attack (Amplification über SOAP/WS-Addressing, eine betriebliche DoS-Variante ohne Angriffsfläche im Code)
- Cash Overflow
- Spyware, Trojan Horse (Malware auf den Geräten der Endnutzer, keine Angriffsfläche im Code des auditierten Projekts. Der Aspekt der Auslieferung im Browser liegt in
browser) - REST Security, REST Assessment
- Web Service Security
- Cloud Architecture Security (Design und Abwägungen: IAM gegenüber signierten URLs, öffentliche und private VPCs, Vertrauensgrenzen, geteilte Verantwortung. Anders als
containerbietet es keine konkrete Konfiguration, die eine Spezialisierung prüft) - Infrastructure as Code Security (trotz des Namens geht es um SDLC-Prozesse und Werkzeuge zum Verwalten von IaC: IDE-Plugins, statische Analyse, Image-Scans, CI/CD, Signierung. Es zeigt in keiner Terraform- oder CloudFormation-Datei den Weg von einem unsicheren Muster zur sicheren Form)
- Kubernetes Security (nur der Teil zur Cluster-Administration: RBAC, etcd, API-Server, Admission. Der Teil zu Workloads und Pods gehört unter
containerzum Geltungsbereich) - Network Segmentation (Netzwerkarchitektur und Firewall-Richtlinien)
- Subdomain Takeover Prevention (Lebenszyklus und Überwachung von DNS, kein Code)
- Secrets Management (Vaults, CI/CD, Rotation. Der Aspekt fest im Code hinterlegter Secrets ist Sache eines deterministischen Durchlaufs, keiner Risiko-Spezialisierung)
- C-Based Toolchain Hardening (Compiler-, Linker- und Build-Flags, ohne Sink im Quellcode)
- Microservices Security, Microservices based Security Arch Doc
- Zero Trust Architecture
- CI/CD Security, GitHub Actions Security
- Software Supply Chain Security
- Error Handling, Full Path Disclosure (globale Konfiguration der Fehlerbehandlung je Stack. Das Leck ist dieselbe Offenlegung, die die Fehlerbehandlung bereits regelt)
- Abuse of Functionality, Business Logic Security, Abuse Case (historisch) (anwendungsspezifisches Design, kein einzelner Sink im Code)
- User Privacy Protection (Datenminimierung, Transparenz, Aufbewahrungsrichtlinien)
- Top 10 Automotive Security Vulnerabilities, Drone Security (Gebiete der Embedded-Systeme: CAN-Bus, OTA-Firmware, Integrität von Sensoren und Funk, kein Web- oder API-Quellcode)
- Mobile Application Security (Härtung der Plattformen Android und iOS: Speicher, Biometrie, Pinning, personenbezogene Daten. Es hat keine einzelne Angriffsfläche im Code, und der Aspekt des Ladens nicht vertrauenswürdigen Codes ging an
interpreter) - Threat Modeling, Threat Modeling (Community-Seite)
- Attack Surface Analysis
- Secure Product Design
- Secure Code Review
- Virtual Patching
- Vulnerability Disclosure
- Legacy Application Management
- Security Terminology