Ce document met en correspondance chaque attaque (www-community) et chaque Cheat Sheet (CheatSheetSeries) de l'OWASP avec une catégorie de sécurité, chacune liée à sa page publique canonique. Au sein d'une catégorie, les éléments équivalents partagent une seule ligne de la checklist : les attaques et les cheat sheets qui traitent le même risque sont listées ensemble, séparées par des virgules. Les éléments sans équivalent direct ont leur propre ligne.
- Le mérite revient à l'OWASP. Les attaques se trouvent sur
https://owasp.org/www-community/attacks/<attack>et les cheat sheets surhttps://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html.
1. Injection (générique)
- Code Injection, Injection Prevention, Injection Prevention in Java (interpreter)
- Direct Dynamic Code Evaluation (Eval Injection) (interpreter)
- Function Injection (interpreter)
- Resource Injection (network)
- Special Element Injection (interpreter)
- Custom Special Character Injection (interpreter)
- Comment Injection Attack (interpreter)
- Parameter Delimiter (interpreter)
- Server-Side Includes (SSI) Injection (interpreter)
- Input Validation, Bean Validation (interpreter)
2. Injection SQL et en base de données
- SQL Injection, SQL Injection Prevention, Query Parameterization (sql)
- Blind SQL Injection (sql)
- SQL Injection Bypassing WAF (sql)
- RSQL Injection (interpreter)
- Database Security (sql)
- NoSQL Security (interpreter)
3. Injection de commandes du système
- Command Injection, OS Command Injection Defense (interpreter)
4. Injection LDAP, XPath et XML
- LDAP Injection, LDAP Injection Prevention (interpreter)
- XPATH Injection (interpreter)
- Blind XPath Injection (interpreter)
- XML External Entity (XXE) Prevention, XML Security (xml)
5. Cross-Site Scripting (XSS)
- Cross Site Scripting (XSS), Cross Site Scripting Prevention, XSS Filter Evasion (browser)
- DOM Based XSS, DOM based XSS Prevention, DOM Clobbering Prevention (browser)
- Reflected DOM Injection (browser)
- XSS in Converting File Content to Text (browser)
- XSS in subtitle (browser)
- Cross Frame Scripting (browser)
- Cross Site Tracing (browser)
- Content Security Policy (browser)
6. Cross-Site Request Forgery (CSRF) et clickjacking
- Cross Site Request Forgery (CSRF), XSRF, Cross-Site Request Forgery Prevention (http-request)
- Clickjacking, Clickjacking Defense (browser)
- Cross Site History Manipulation (XSHM) (browser)
- Form action hijacking (network)
- Reverse Tabnabbing (browser)
7. Redirections et transferts
- Open Redirect, Unvalidated Redirects and Forwards (network)
- Execution After Redirect (EAR) (browser)
8. Contrôle d'accès et autorisation
- Insecure Direct Object Reference (IDOR), Insecure Direct Object Reference Prevention (access-control)
- Forced browsing (access-control)
- Web Parameter Tampering (access-control)
- Setting Manipulation (access-control)
- Authorization (access-control)
- Transaction Authorization (access-control)
- Mass Assignment (access-control)
- Multi-Tenant Application Security (access-control)
9. Authentification et identifiants
- Brute Force Attack, Password Spraying Attack, Bot Management and Anti-Automation (credential-endpoint)
- Credential stuffing, Credential Stuffing Prevention (credential-endpoint)
- Qrljacking (federation)
- Authentication, Multifactor Authentication (access-control)
- Password Storage (access-control)
- Forgot Password, Choosing and Using Security Questions (access-control)
- Email Validation and Verification in Identity Systems (access-control)
10. Gestion des sessions
- Session fixation, Session hijacking attack, Session Prediction, Session Management (access-control)
- Cookie Theft Mitigation (access-control)
11. Fédération d'identité (OAuth / SAML / JWT)
- OAuth 2.0 Protocol (federation)
- SAML Security (federation)
- JSON Web Token for Java (federation)
12. Cryptographie et sécurité du transport
- Cryptanalysis, Cryptographic Storage, Key Management (crypto)
- Manipulator-in-the-Middle (MITM), Transport Layer Security (transport)
- HTTP Strict Transport Security (transport)
- Pinning (transport)
13. Server-Side Request Forgery (SSRF)
14. Path traversal et manipulation de fichiers
- Path Traversal (path)
- Binary Planting (path)
- Windows ::DATA Alternate Data Stream (path)
- Embedding Null Code (path)
- File Upload (upload)
15. Abus du protocole HTTP (en-têtes, cache, splitting)
- HTTP Response Splitting, Cross-User Defacement (interpreter)
- HTTP Security Response Headers (réparti entre browser, transport, http-request et access-control)
- Cache Poisoning (interpreter)
- IP Spoofing via HTTP Headers (http-request)
16. Encodage et usurpation de contenu
- Unicode Encoding (interpreter)
- Double Encoding (interpreter)
- Content Spoofing (browser)
17. Injection dans les CSV et les tableurs
- CSV Injection (csv)
18. CORS (Cross-Origin Resource Sharing)
- CORS OriginHeaderScrutiny (http-request)
- CORS RequestPreflightScrutiny (http-request)
19. Déni de service
20. Sûreté mémoire et code natif
- Buffer Overflow Attack, Buffer Overflow via Environment Variables (c-cpp)
- Format string attack (c-cpp)
21. Code mobile et exécution de code non fiable
- Mobile code invoking untrusted mobile code (interpreter)
- Mobile code non-final public field (java)
- Mobile code object hijack (java)
22. Désérialisation
- Deserialization (réparti entre python, ruby, php, java et dotnet)
23. Malwares et menaces côté client
- Man-in-the-browser attack, Browser Extension Security Vulnerabilities (browser)
- Third Party JavaScript Management (browser)
24. Journalisation, répudiation et gestion des erreurs
- Log Injection, Logging, Application Logging Vocabulary (interpreter)
- Repudiation Attack (interpreter)
25. Logique métier et abus de fonctionnalités
La logique métier et l'abus de fonctionnalités n'ont pas de surface de code unique qu'une spécialisation par surface puisse défendre : la défense relève d'une conception propre à l'application, le même raisonnement que guide la modélisation des menaces du projet. Déplacé vers "Hors périmètre".
26. Sécurité de l'IA, des LLM et des agents
- Prompt Injection, LLM Prompt Injection Prevention (llm)
- MCP Tool Poisoning, MCP (Model Context Protocol) Security (llm)
- HITL Dialog Forging (Lies-in-the-Loop) (llm)
- AI Agent Security, Secure Coding with AI (llm)
- Retrieval-Augmented Generation (RAG) Security (llm)
- Secure AI/ML Model Ops (llm)
- AML and Sanctions Compliance for AI Agent Payments (llm)
27. Pollution de prototype et fuites intersites
- Prototype Pollution Prevention (javascript)
- Cross-site leaks (XS-Leaks) (browser)
28. Frameworks et plateformes de langages
- Django Security, Django REST Framework (python)
- Ruby on Rails (ruby)
- Laravel (php)
- Symfony (php)
- Java Security (java)
- DotNet Security (dotnet)
- NodeJS Security (javascript)
- PHP Configuration (php)
29. Front-end web et navigateur
- HTML5 Security (browser)
- AJAX Security (browser)
- Securing Cascading Style Sheets (réparti entre access-control et browser)
30. API et services
- GraphQL (api-endpoint)
- gRPC Security (api-endpoint)
- WebSocket Security (api-endpoint)
31. Cloud, conteneurs et infrastructure
La configuration des conteneurs et des workloads est de la configuration as code que le développeur livre avec l'application (Dockerfile, Compose, securityContext des Pods), une vraie surface que harden corrige et que verify prouve, donc elle est dans le périmètre. L'administration des clusters (RBAC, etcd, serveur d'API, admission, segmentation réseau) relève de l'opérateur et reste hors périmètre.
- Docker Security, Node.js Docker (container)
- Kubernetes Security (container : la partie workloads et Pods. L'administration des clusters reste hors périmètre)
- Serverless / FaaS Security (serverless)
32. Chaîne d'approvisionnement et CI/CD
- NPM Security (interpreter)
- Dependency Graph & SBOM Best Practices, Vulnerable Dependency Management (interpreter)
33. Secrets et configuration
La gestion des secrets est opérationnelle : coffres-forts, CI/CD, configuration cloud, rotation. Le seul aspect au niveau du code (un secret codé en dur dans le code source) relève d'une analyse déterministe, pas d'une spécialisation de risque. Déplacé vers "Hors périmètre".
34. Processus, conception et gouvernance
La protection de la vie privée des utilisateurs relève de la politique et de la conception (minimisation des données, transparence, conservation), pas d'une surface de code qu'une spécialisation défend. Déplacé vers "Hors périmètre".
35. Paiements et conformité
36. Embarqué, IoT et domaines spécialisés
La sécurité automobile et celle des drones sont des domaines de systèmes embarqués (bus CAN, firmware OTA, intégrité des capteurs et des radios, accès physique), pas le code source d'application web ou d'API qu'audite Lagune. Déplacé vers "Hors périmètre".
Hors périmètre (aucune surface de code)
Ce ne sont pas des terrains de spécialisation et ils n'ont pas de case à cocher : il s'agit de gouvernance, de processus, de durcissement opérationnel ou d'usage de frameworks sans surface de code unique qu'une spécialisation par surface puisse défendre. Leur valeur pour la sécurité est réelle, mais elle réside dans les processus et l'architecture (ou, pour un framework, dans le skill propre à ce langage), pas dans une défense que ce catalogue fournit. Listés pour référence, pas comme travail à faire.
- Authorization Regression Testing, Authorization Testing Automation
- JAAS
- Denial of Service, Denial of Service
- HTTP/2 Reset Attack
- Traffic flood
- Web Service Amplification Attack (amplification SOAP/WS-Addressing, une variante opérationnelle de DoS sans surface de code)
- Cash Overflow
- Spyware, Trojan Horse (malware visant l'utilisateur final, pas une surface de code du projet audité. L'aspect de diffusion dans le navigateur relève de
browser) - REST Security, REST Assessment
- Web Service Security
- Cloud Architecture Security (conception et compromis : IAM ou URL signées, VPC publics ou privés, frontières de confiance, responsabilité partagée. Contrairement à
container, aucune configuration concrète ne peut y être vérifiée par une spécialisation) - Infrastructure as Code Security (malgré son nom, il s'agit du processus SDLC et de l'outillage pour gérer l'IaC : plugins d'IDE, analyse statique, analyse d'images, CI/CD, signature. Il ne propose aucun passage d'un motif non sûr à une forme sûre dans un fichier Terraform/CloudFormation)
- Kubernetes Security (uniquement la partie administration des clusters : RBAC, etcd, serveur d'API, admission. La partie workloads et Pods est dans le périmètre, sous
container) - Network Segmentation (architecture réseau et politique de pare-feu)
- Subdomain Takeover Prevention (cycle de vie et surveillance du DNS, pas du code)
- Secrets Management (coffres-forts, CI/CD, rotation. L'aspect du secret codé en dur relève d'une analyse déterministe, pas d'une spécialisation de risque)
- C-Based Toolchain Hardening (options du compilateur, de l'éditeur de liens et du build, sans sink dans le code source)
- Microservices Security, Microservices based Security Arch Doc
- Zero Trust Architecture
- CI/CD Security, GitHub Actions Security
- Software Supply Chain Security
- Error Handling, Full Path Disclosure (configuration globale du gestionnaire d'erreurs selon la stack. La fuite est la même divulgation que régit déjà la gestion des erreurs)
- Abuse of Functionality, Business Logic Security, Abuse Case (historique) (conception propre à l'application, aucun sink de code unique)
- User Privacy Protection (minimisation des données, transparence, politique de conservation)
- Top 10 Automotive Security Vulnerabilities, Drone Security (domaines de systèmes embarqués : bus CAN, firmware OTA, intégrité des capteurs et des radios, pas du code source web ou d'API)
- Mobile Application Security (durcissement des plateformes Android/iOS : stockage, biométrie, pinning, données personnelles. Il n'a pas de surface de code unique, et l'aspect du chargement de code non fiable est passé à
interpreter) - Threat Modeling, Threat Modeling (page communautaire)
- Attack Surface Analysis
- Secure Product Design
- Secure Code Review
- Virtual Patching
- Vulnerability Disclosure
- Legacy Application Management
- Security Terminology