Цей документ зіставляє кожну атаку (www-community) і кожен Cheat Sheet (CheatSheetSeries) від OWASP з категорією безпеки, і кожен пункт містить посилання на свою канонічну публічну сторінку. У межах категорії рівнозначні пункти ділять один рядок чек-листа: атаки й cheat sheet, що стосуються того самого ризику, перелічено разом через кому. Пункти без прямого відповідника стоять в окремому рядку.
- Авторство належить OWASP. Атаки розміщено за адресою
https://owasp.org/www-community/attacks/<attack>, а cheat sheet за адресоюhttps://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html.
1. Ін'єкції (загальні)
- Code Injection, Injection Prevention, Injection Prevention in Java (interpreter)
- Direct Dynamic Code Evaluation (Eval Injection) (interpreter)
- Function Injection (interpreter)
- Resource Injection (network)
- Special Element Injection (interpreter)
- Custom Special Character Injection (interpreter)
- Comment Injection Attack (interpreter)
- Parameter Delimiter (interpreter)
- Server-Side Includes (SSI) Injection (interpreter)
- Input Validation, Bean Validation (interpreter)
2. Ін'єкції SQL і в бази даних
- SQL Injection, SQL Injection Prevention, Query Parameterization (sql)
- Blind SQL Injection (sql)
- SQL Injection Bypassing WAF (sql)
- RSQL Injection (interpreter)
- Database Security (sql)
- NoSQL Security (interpreter)
3. Ін'єкції команд ОС
- Command Injection, OS Command Injection Defense (interpreter)
4. Ін'єкції LDAP, XPath і XML
- LDAP Injection, LDAP Injection Prevention (interpreter)
- XPATH Injection (interpreter)
- Blind XPath Injection (interpreter)
- XML External Entity (XXE) Prevention, XML Security (xml)
5. Cross-Site Scripting (XSS)
- Cross Site Scripting (XSS), Cross Site Scripting Prevention, XSS Filter Evasion (browser)
- DOM Based XSS, DOM based XSS Prevention, DOM Clobbering Prevention (browser)
- Reflected DOM Injection (browser)
- XSS in Converting File Content to Text (browser)
- XSS in subtitle (browser)
- Cross Frame Scripting (browser)
- Cross Site Tracing (browser)
- Content Security Policy (browser)
6. Cross-Site Request Forgery (CSRF) і clickjacking
- Cross Site Request Forgery (CSRF), XSRF, Cross-Site Request Forgery Prevention (http-request)
- Clickjacking, Clickjacking Defense (browser)
- Cross Site History Manipulation (XSHM) (browser)
- Form action hijacking (network)
- Reverse Tabnabbing (browser)
7. Перенаправлення й переспрямування
- Open Redirect, Unvalidated Redirects and Forwards (network)
- Execution After Redirect (EAR) (browser)
8. Контроль доступу й авторизація
- Insecure Direct Object Reference (IDOR), Insecure Direct Object Reference Prevention (access-control)
- Forced browsing (access-control)
- Web Parameter Tampering (access-control)
- Setting Manipulation (access-control)
- Authorization (access-control)
- Transaction Authorization (access-control)
- Mass Assignment (access-control)
- Multi-Tenant Application Security (access-control)
9. Автентифікація й облікові дані
- Brute Force Attack, Password Spraying Attack, Bot Management and Anti-Automation (credential-endpoint)
- Credential stuffing, Credential Stuffing Prevention (credential-endpoint)
- Qrljacking (federation)
- Authentication, Multifactor Authentication (access-control)
- Password Storage (access-control)
- Forgot Password, Choosing and Using Security Questions (access-control)
- Email Validation and Verification in Identity Systems (access-control)
10. Керування сесіями
- Session fixation, Session hijacking attack, Session Prediction, Session Management (access-control)
- Cookie Theft Mitigation (access-control)
11. Федерація ідентичності (OAuth / SAML / JWT)
- OAuth 2.0 Protocol (federation)
- SAML Security (federation)
- JSON Web Token for Java (federation)
12. Криптографія й безпека передавання даних
- Cryptanalysis, Cryptographic Storage, Key Management (crypto)
- Manipulator-in-the-Middle (MITM), Transport Layer Security (transport)
- HTTP Strict Transport Security (transport)
- Pinning (transport)
13. Server-Side Request Forgery (SSRF)
14. Path traversal і робота з файлами
- Path Traversal (path)
- Binary Planting (path)
- Windows ::DATA Alternate Data Stream (path)
- Embedding Null Code (path)
- File Upload (upload)
15. Зловживання протоколом HTTP (заголовки, кешування, розщеплення)
- HTTP Response Splitting, Cross-User Defacement (interpreter)
- HTTP Security Response Headers (розподілено: browser, transport, http-request, access-control)
- Cache Poisoning (interpreter)
- IP Spoofing via HTTP Headers (http-request)
16. Кодування й підміна вмісту
- Unicode Encoding (interpreter)
- Double Encoding (interpreter)
- Content Spoofing (browser)
17. Ін'єкції в CSV і таблиці
- CSV Injection (csv)
18. CORS (Cross-Origin Resource Sharing)
- CORS OriginHeaderScrutiny (http-request)
- CORS RequestPreflightScrutiny (http-request)
19. Відмова в обслуговуванні
20. Безпека пам'яті й нативний код
- Buffer Overflow Attack, Buffer Overflow via Environment Variables (c-cpp)
- Format string attack (c-cpp)
21. Мобільний код і виконання недовіреного коду
- Mobile code invoking untrusted mobile code (interpreter)
- Mobile code non-final public field (java)
- Mobile code object hijack (java)
22. Десеріалізація
- Deserialization (розподілено: python, ruby, php, java, dotnet)
23. Шкідливе ПЗ і загрози на боці клієнта
- Man-in-the-browser attack, Browser Extension Security Vulnerabilities (browser)
- Third Party JavaScript Management (browser)
24. Журналювання, відмова від авторства й обробка помилок
- Log Injection, Logging, Application Logging Vocabulary (interpreter)
- Repudiation Attack (interpreter)
25. Бізнес-логіка й зловживання функціональністю
Бізнес-логіка й зловживання функціональністю не мають єдиної поверхні в коді, яку захищала б спеціалізація для окремої поверхні: захист полягає в специфічному для застосунку дизайні, за тією самою логікою, якою керується моделювання загроз проєкту. Перенесено до "Поза обсягом".
26. Безпека ШІ, LLM і агентів
- Prompt Injection, LLM Prompt Injection Prevention (llm)
- MCP Tool Poisoning, MCP (Model Context Protocol) Security (llm)
- HITL Dialog Forging (Lies-in-the-Loop) (llm)
- AI Agent Security, Secure Coding with AI (llm)
- Retrieval-Augmented Generation (RAG) Security (llm)
- Secure AI/ML Model Ops (llm)
- AML and Sanctions Compliance for AI Agent Payments (llm)
27. Prototype pollution і міжсайтові витоки
- Prototype Pollution Prevention (javascript)
- Cross-site leaks (XS-Leaks) (browser)
28. Фреймворки й мовні платформи
- Django Security, Django REST Framework (python)
- Ruby on Rails (ruby)
- Laravel (php)
- Symfony (php)
- Java Security (java)
- DotNet Security (dotnet)
- NodeJS Security (javascript)
- PHP Configuration (php)
29. Вебфронтенд і браузер
- HTML5 Security (browser)
- AJAX Security (browser)
- Securing Cascading Style Sheets (розподілено: access-control, browser)
30. API й сервіси
- GraphQL (api-endpoint)
- gRPC Security (api-endpoint)
- WebSocket Security (api-endpoint)
31. Хмара, контейнери й інфраструктура
Конфігурація контейнерів і робочих навантажень є конфігурацією як кодом, яку розробник постачає разом із застосунком (Dockerfile, Compose, securityContext у Pod), реальною поверхнею, яку harden виправляє, а verify доводить, тож вона в межах обсягу. Адміністрування кластера (RBAC, etcd, API-сервер, admission, сегментація мережі) належить до сфери оператора й лишається поза обсягом.
- Docker Security, Node.js Docker (container)
- Kubernetes Security (container: частина про робочі навантаження й Pod. Адміністрування кластера лишається поза обсягом)
- Serverless / FaaS Security (serverless)
32. Ланцюжок постачання й CI/CD
- NPM Security (interpreter)
- Dependency Graph & SBOM Best Practices, Vulnerable Dependency Management (interpreter)
33. Секрети й конфігурація
Керування секретами є операційним питанням: сховища секретів, CI/CD, хмарна конфігурація, ротація. Єдиний аспект на рівні коду (секрет, жорстко закодований у вихідному коді) є детермінованою перевіркою, а не спеціалізацією з ризику. Перенесено до "Поза обсягом".
34. Процеси, дизайн і керування
Захист приватності користувачів є питанням політики й дизайну (мінімізація даних, прозорість, зберігання), а не поверхнею в коді, яку захищає спеціалізація. Перенесено до "Поза обсягом".
35. Платежі й відповідність вимогам
36. Вбудовані системи, IoT і спеціалізовані галузі
Безпека автомобілів і дронів належить до галузі вбудованих систем (шина CAN, OTA-прошивки, цілісність сенсорів і радіо, фізичний доступ), а не до вихідного коду вебзастосунків і API, який перевіряє Lagune. Перенесено до "Поза обсягом".
Поза обсягом (немає поверхні в коді)
Ці пункти не є територією для спеціалізацій і не мають прапорця: це керування, процеси, операційне посилення захисту чи використання фреймворків без єдиної поверхні в коді, яку захищала б спеціалізація для окремої поверхні. Їхня цінність для безпеки реальна, але вона полягає в процесах і архітектурі (або, для фреймворку, у власній навичці відповідної мови), а не в захисті, який постачає цей каталог. Їх наведено для довідки, а не як роботу.
- Authorization Regression Testing, Authorization Testing Automation
- JAAS
- Denial of Service, Denial of Service
- HTTP/2 Reset Attack
- Traffic flood
- Web Service Amplification Attack (посилення через SOAP/WS-Addressing, операційний різновид DoS без поверхні в коді)
- Cash Overflow
- Spyware, Trojan Horse (шкідливе ПЗ на пристроях кінцевих користувачів, а не поверхня в коді проєкту, що перевіряється. Аспект доставки в браузері охоплює
browser) - REST Security, REST Assessment
- Web Service Security
- Cloud Architecture Security (дизайн і компроміси: IAM проти підписаних URL, публічні й приватні VPC, межі довіри, спільна відповідальність. На відміну від
container, тут немає конкретної конфігурації, яку перевіряє спеціалізація) - Infrastructure as Code Security (попри назву, це процес SDLC та інструменти для керування IaC: плагіни IDE, статичний аналіз, сканування образів, CI/CD, підписування. Він не показує шлях від небезпечного шаблону до безпечної форми у файлі Terraform чи CloudFormation)
- Kubernetes Security (лише частина про адміністрування кластера: RBAC, etcd, API-сервер, admission. Частина про робочі навантаження й Pod входить в обсяг у межах
container) - Network Segmentation (архітектура мережі й політики брандмауера)
- Subdomain Takeover Prevention (життєвий цикл DNS і моніторинг, а не код)
- Secrets Management (сховища секретів, CI/CD, ротація. Аспект жорстко закодованих секретів є детермінованою перевіркою, а не спеціалізацією з ризику)
- C-Based Toolchain Hardening (прапорці компілятора, лінкера й збирання, без sink у вихідному коді)
- Microservices Security, Microservices based Security Arch Doc
- Zero Trust Architecture
- CI/CD Security, GitHub Actions Security
- Software Supply Chain Security
- Error Handling, Full Path Disclosure (глобальна конфігурація обробника помилок для кожного стеку. Витік є тим самим розкриттям, яке вже охоплює обробка помилок)
- Abuse of Functionality, Business Logic Security, Abuse Case (historical) (специфічний для застосунку дизайн, без єдиного sink у коді)
- User Privacy Protection (мінімізація даних, прозорість, політика зберігання)
- Top 10 Automotive Security Vulnerabilities, Drone Security (галузі вбудованих систем: шина CAN, OTA-прошивки, цілісність сенсорів і радіо, а не вихідний код вебзастосунків і API)
- Mobile Application Security (посилення захисту платформ Android та iOS: сховище, біометрія, pinning, PII. Немає єдиної поверхні в коді, а аспект завантаження недовіреного коду перейшов до
interpreter) - Threat Modeling, Threat Modeling (community page)
- Attack Surface Analysis
- Secure Product Design
- Secure Code Review
- Virtual Patching
- Vulnerability Disclosure
- Legacy Application Management
- Security Terminology