OWASP Top 10 : Vulnérabilités Web Majeures & Remédiations

Le projet OWASP (Open Web Application Security Project) publie régulièrement son classement des 10 risques de sécurité les plus critiques pour les applications Web. En tant que futur auditeur ou développeur sécurisé, la maîtrise de ces failles et de leurs mécanismes de défense est essentielle.

---

1. Cross-Site Scripting (XSS)

Le XSS consiste à injecter du code JavaScript malveillant dans une page web légitime consultée par d'autres utilisateurs. Le script s'exécute dans le contexte de sécurité du navigateur de la victime.

`` [ ATTAQUANT ] | v 1. Injection d'un payload : [ SERVEUR WEB NON SÉCURISÉ ] | v 2. Rendu de la page HTML non assainie contenant le script malveillant [ VICTIME LÉGITIME (Navigateur) ] | -> Exécution du JavaScript dans le contexte d'origine de l'application v 3. Vol du cookie de session sensible [ SERVEUR DE L'ATTAQUANT (evil.com) ] `

Les Trois Types de XSS :

1. XSS Stocké (Stored / Persistent) : Le payload est enregistré de manière permanente en base de données (ex: dans un commentaire de forum ou un profil utilisateur) et s'exécute chaque fois qu'un internaute affiche la page. C'est la forme la plus dangereuse. 2. XSS Réfléchi (Reflected) : Le payload provient de l'URL ou d'un paramètre GET (?search=