Ghid tehnic · Aplicații web

OWASP Top 10:2025,
categorie cu categorie

Ediția 2025 a schimbat lista: două categorii noi, SSRF mutat în controlul accesului, o altă ordine. Ce înseamnă fiecare risc, ce găsește un scaner, ce găsește doar un om și cum se repară.

Actualizat 9 min de citit 13 surse citate
Cuprins
  1. Ce este OWASP Top 10 și ce nu este
  2. Ce s-a schimbat față de 2021
  3. Cele zece categorii, explicate
  4. Ce găsește un scaner și ce găsește doar un om
  5. Autoevaluare: unde stă aplicația dumneavoastră
  6. API-uri și aplicații mobile: listele surori
  7. OWASP și reglementările
  8. Cum testăm o aplicație pe Top 10
  9. Întrebări frecvente
  10. Surse

În 30 de secunde

  • Ediția curentă e OWASP Top 10:2025, prezentată în noiembrie 2025 și finalizată în decembrie 2025 113.
  • Se bazează pe date din peste 2,8 milioane de aplicații și 589 de categorii CWE analizate; 8 categorii vin din date, 2 din sondajul comunității 2.
  • Două categorii noi: A03 lanțul de aprovizionare software și A10 tratarea condițiilor excepționale; SSRF a intrat în A01 1.
  • Top 10 e un document de conștientizare, „minimul absolut”; pentru verificare OWASP recomandă ASVS 5.0 34.
  • Logica de business (A06) nu poate fi găsită de un scaner — o spune chiar ghidul de testare OWASP 6.
Ediția
2025 1
Date
2,8 mil. aplicații 2
Categorii noi
A03 și A10 1
Verificare
ASVS 5.0 4

Ce este OWASP Top 10 și ce nu este

OWASP Top 10 e lista celor mai importante riscuri de securitate pentru aplicațiile web, publicată de fundația OWASP. Ediția 2025, a opta, a fost prezentată ca versiune candidată în noiembrie 2025 și finalizată în decembrie 2025 113. Clasamentul pleacă de la date despre peste 2,8 milioane de aplicații, donate de 13 organizații, plus un sondaj al comunității; au fost analizate 589 de categorii CWE, dintre care 248 intră în cele zece riscuri 2.

Ce nu este: un standard de conformitate. OWASP îl numește „în primul rând un document de conștientizare” și „minimul absolut”, iar pentru verificarea unei aplicații recomandă ASVS — 345 de cerințe pe trei niveluri, în versiunea 5.0 din mai 2025 34. Metodologia de testare propriu-zisă e în ghidul de testare WSTG 5.

Ce s-a schimbat față de 2021

2025Față de 2021
A01 Controlul accesuluiRămâne pe 1; SSRF (fostul A10) intră aici. Toate aplicațiile testate au avut o formă a problemei 11.
A02 Configurare greșităUrcă de pe 5 pe 2 1.
A03 Lanțul de aprovizionareNou; extinde componentele învechite (A06:2021) 1.
A04 Eșecuri criptograficeCoboară de pe 2 pe 4 1.
A05 InjecțieCoboară de pe 3 pe 5; include XSS 1.
A06 Design nesigurCoboară de pe 4 pe 6 1.
A07 AutentificareRămâne pe 7, cu nume scurtat 1.
A08 IntegritateRămâne pe 8 1.
A09 Jurnalizare și alertareRămâne pe 9; „monitorizare” devine „alertare” 1.
A10 Condiții excepționaleNou 1.

OWASP a pus deja pe lista de așteptare trei riscuri pentru ediția următoare: lipsa de reziliență a aplicației, gestionarea memoriei și încrederea nepotrivită în codul generat de AI 12.

Cele zece categorii, explicate

Deschideți fiecare categorie: ce înseamnă, ce verifică un tester manual și cum se repară. Codurile WSTG trimit la testele din ghidul OWASP 15.

A01:2025Controlul accesului defectuosBroken Access Control
Ce înseamnă
Utilizatorul face ce nu are voie: vede comanda altui client, schimbă un ID din adresă și primește datele altuia, ajunge la funcții de administrator. Din 2025 include și SSRF.
Ce verificăm manual
Testăm cu cel puțin două conturi și fiecare rol: cine poate citi, modifica și șterge obiectele cui (WSTG-ATHZ-02, -03, -04).
Cum se repară
Verificarea apartenenței pe server, la fiecare cerere; refuz implicit; fără încredere în ID-urile venite de la client.
A02:2025Configurare de securitate greșităSecurity Misconfiguration
Ce înseamnă
Setări implicite, conturi de test uitate, mesaje de eroare detaliate, antete lipsă, servicii cloud deschise. A urcat de pe locul 5 pe 2.
Ce verificăm manual
Scanerul găsește multe aici; omul confirmă ce e exploatabil și ce e doar zgomot, și leagă o configurare slabă de restul atacului.
Cum se repară
Configurare repetabilă și minimă, verificată automat la fiecare livrare.
A03:2025Eșecuri ale lanțului de aprovizionare softwareSoftware Supply Chain Failures
Ce înseamnă
Nou în 2025: compromiterea construirii, livrării sau actualizării software-ului, inclusiv prin dependențe. Extinde vechea categorie a componentelor învechite; a fost pe locul 1 în sondajul comunității.
Ce verificăm manual
Verificăm versiunile expuse, bibliotecile JavaScript din pagină, cine poate publica în conductă și dacă artefactele sunt verificate.
Cum se repară
Inventar al dependențelor (SBOM), versiuni fixate, semnarea artefactelor, drepturi minime în conducta de livrare.
A04:2025Eșecuri criptograficeCryptographic Failures
Ce înseamnă
Date sensibile necriptate, algoritmi slabi, chei scrise în cod, numere aleatorii previzibile. A coborât de pe locul 2 pe 4.
Ce verificăm manual
Urmărim datele sensibile de la formular la bază: transport, stocare, jetoane și resetarea parolei.
Cum se repară
TLS peste tot, algoritmi actuali, parole cu funcții dedicate (Argon2, bcrypt), chei într-un seif, nu în cod.
A05:2025InjecțieInjection
Ce înseamnă
Date neîncrezute ajung într-un interpretor: SQL, comenzi de sistem, browserul (XSS). Are cele mai multe CVE dintre categorii.
Ce verificăm manual
Confirmăm manual injecțiile oarbe și de ordinul doi și contextele pe care scanerul nu le poate verifica (WSTG-INPV-05).
Cum se repară
Interogări parametrizate, codificarea ieșirii după context, validare pe liste permise.
A06:2025Design nesigurInsecure Design
Ce înseamnă
Controlul lipsește din proiectare, inclusiv logica de business: o reducere aplicată de două ori, un pas de plată sărit, o limită care nu există.
Ce verificăm manual
Aici scanerul nu ajunge deloc — o spune chiar WSTG. Abuzăm fluxurile: ordinea pașilor, limitele, cursele (WSTG-BUSL-01…09).
Cum se repară
Modelarea amenințărilor la proiectare, limite pe server, teste pentru cazurile de abuz, nu doar pentru cele fericite.
A07:2025Eșecuri de autentificareAuthentication Failures
Ce înseamnă
O identitate falsă e acceptată ca reală: parole ghicite, sesiuni care nu expiră, resetări de parolă abuzabile, MFA ocolit.
Ce verificăm manual
Fluxuri cu stare, în mai mulți pași, unde scanerele sunt slabe: resetarea parolei, blocarea contului, fixarea sesiunii (WSTG-ATHN-03, -04, -09; WSTG-SESS-03).
Cum se repară
MFA, limită de încercări, sesiuni invalidate la deconectare și la schimbarea parolei, jetoane de resetare de unică folosință.
A08:2025Eșecuri de integritate a software-ului sau a datelorSoftware or Data Integrity Failures
Ce înseamnă
Încredere în cod sau date fără verificare: obiecte deserializate din cereri, actualizări fără semnătură, scripturi încărcate de pe alte domenii.
Ce verificăm manual
Căutăm deserializarea nesigură și câmpurile pe care clientul nu ar trebui să le poată scrie (atribuire în masă).
Cum se repară
Semnături pe actualizări, integritate pe scripturi externe (SRI), liste permise de câmpuri.
A09:2025Eșecuri de jurnalizare și alertareSecurity Logging and Alerting Failures
Ce înseamnă
Evenimentele importante nu se înregistrează sau nu declanșează nicio alertă: atacul durează luni fără ca cineva să-l vadă. „Monitorizare” a devenit „alertare”.
Ce verificăm manual
În timpul testului notăm ce acțiuni ale noastre ar fi trebuit să fie văzute; la final, comparăm cu ce a văzut echipa dumneavoastră.
Cum se repară
Jurnale pentru autentificare, acces și erori, cu alerte care ajung la un om în ore.
A10:2025Tratarea greșită a condițiilor excepționaleMishandling of Exceptional Conditions
Ce înseamnă
Nou în 2025: situațiile neobișnuite nu sunt prevenite, detectate sau tratate — erori care lasă tranzacția pe jumătate, excepții care deschid accesul în loc să-l închidă.
Ce verificăm manual
Provocăm erori la momente nepotrivite și urmărim ce stare rămâne (WSTG-ERRH-01).
Cum se repară
„Fail-closed”: la eroare, refuz și anularea întregii operații; mesaje fără detalii tehnice.

Ce găsește un scaner și ce găsește doar un om

Scanerele automate sunt bune la ce se vede într-o singură cerere: versiuni, antete, injecții clasice. Rămân orbe la tot ce cere context — cui îi aparține un obiect, în ce ordine trebuie făcuți pașii, ce înseamnă o reducere. Ghidul OWASP spune explicit despre logica de business că „nu poate fi detectată de un scaner de vulnerabilități” 6.

CategoriaScanerulTesterul
A01 Acces (IDOR)Nu știe cui îi aparține obiectulTestează cu două conturi, pe fiecare rol 7
A02 ConfigurareGăsește mult, cu zgomotConfirmă ce e exploatabil
A05 InjecțieGăsește cazurile clasiceConfirmă injecțiile oarbe și de ordinul doi
A06 Logica de businessNu ajunge deloc 6Abuzează fluxurile și limitele
A07 AutentificareSlab pe fluxuri în mai mulți pașiResetare, blocare, sesiuni

Autoevaluare: unde stă aplicația dumneavoastră

Cât de pregătită e aplicația? 10 întrebări, una pe categorie

Răspunsurile rămân în browser. „Nu știu” contează ca risc: ce nu se știe, nu s-a verificat.

  1. A01 Fiecare cerere verifică pe server că obiectul cerut aparține utilizatorului?
  2. A02 Configurările (antete, porturi, conturi implicite) se verifică după fiecare livrare?
  3. A03 Știți ce dependențe și versiuni rulează în producție și cine le poate publica?
  4. A04 Datele sensibile sunt criptate cu algoritmi actuali, cu cheile în afara codului?
  5. A05 Toate interogările folosesc parametri, iar ieșirea e codificată după context?
  6. A06 Fluxurile critice (plată, resetare, reduceri) au fost analizate pentru abuz?
  7. A07 Aveți MFA, limită de încercări și sesiuni invalidate la deconectare?
  8. A08 Actualizările și datele serializate sunt verificate (semnătură, integritate)?
  9. A09 Un atac în desfășurare ar ajunge ca alertă la un om în câteva ore?
  10. A10 La o eroare, aplicația refuză și anulează operația, fără detalii tehnice afișate?

API-uri și aplicații mobile: listele surori

Pentru API-uri, OWASP are o listă separată, API Security Top 10:2023. Pe primul loc stă BOLA (autorizarea la nivel de obiect), echivalentul API al IDOR 8. Pentru aplicațiile mobile, Mobile Top 10 a primit o versiune finală în 2024, cu utilizarea greșită a credențialelor pe primul loc 9.

ListaPrimele trei
API Security Top 10:2023API1 BOLA · API2 autentificare · API3 autorizare la nivel de proprietate 8
Mobile Top 10 (2024)M1 credențiale · M2 lanțul de aprovizionare · M3 autentificare și autorizare 9

OWASP și reglementările

Standardele nu cer „OWASP Top 10” cu acest nume, dar cer apărare împotriva acelorași clase de atac. PCI DSS v4.0.1, cerința 6.2.4, cere tehnici care previn injecțiile, atacurile asupra logicii de business și asupra controlului accesului în software-ul dezvoltat intern 10. În auditurile de conformitate, un test pe aplicație care acoperă Top 10 și ASVS e dovada directă că aceste cerințe chiar funcționează.

Cum testăm o aplicație pe Top 10

  1. Perimetru și conturi

    Câte un cont pentru fiecare rol, plus două conturi pe același rol — fără ele, A01 nu se poate testa.

  2. Cartografierea aplicației

    Toate funcțiile, API-urile și fluxurile, inclusiv cele pe care interfața nu le arată.

  3. Testare automată ca sprijin

    Scanerul acoperă rapid A02 și A05 clasic; constatările lui se confirmă manual.

  4. Testare manuală pe categorii

    Controlul accesului, logica de business, autentificarea și erorile, după testele WSTG 5.

  5. Raport și re-test

    Fiecare constatare cu categoria OWASP, gravitatea, dovada și remedierea; după reparare, re-testul închide constatarea cu dovadă.

Întrebări frecvente

Care e ediția curentă a OWASP Top 10?
Ediția 2025, prezentată în noiembrie 2025 și finalizată în decembrie 2025. Înlocuiește ediția 2021 113.
Ce categorii noi are ediția 2025?
A03 Software Supply Chain Failures (lanțul de aprovizionare software, extins din componentele învechite) și A10 Mishandling of Exceptional Conditions (tratarea condițiilor excepționale). SSRF, separat în 2021, a intrat în A01 1.
Este OWASP Top 10 un standard de conformitate?
Nu. OWASP îl numește un document de conștientizare și „minimul absolut”; pentru verificarea unei aplicații recomandă ASVS 34.
Poate un scaner automat să acopere tot Top 10?
Nu. Scanerele acoperă bine configurările și injecțiile clasice, dar nu pot verifica controlul accesului între utilizatori sau logica de business, care cer context și creativitate umană 67.
Ce diferență e între Top 10, ASVS și WSTG?
Top 10 spune ce riscuri există, ASVS ce cerințe trebuie să îndeplinească aplicația (345, pe trei niveluri, în versiunea 5.0), iar WSTG cum se testează fiecare 345.
Se aplică Top 10 și API-urilor?
Parțial; pentru API-uri, OWASP are o listă dedicată, API Security Top 10:2023, cu autorizarea la nivel de obiect (BOLA) pe primul loc 8.

Surse

Fiecare afirmație despre lege sau standard trimite la sursa ei oficială. Consultate la data indicată.

  1. OWASP Top 10:2025owasp.org · consultat 22 octombrie 2026
  2. OWASP Top 10:2025 — introducere și metodologieowasp.org · consultat 22 octombrie 2026
  3. OWASP Top 10:2025 — folosirea Top 10 ca standardowasp.org · consultat 22 octombrie 2026
  4. OWASP Application Security Verification Standard (ASVS) 5.0owasp.org · consultat 22 octombrie 2026
  5. OWASP Web Security Testing Guide (WSTG) v4.2owasp.org · consultat 22 octombrie 2026
  6. WSTG — introducere în testarea logicii de businessowasp.org · consultat 22 octombrie 2026
  7. WSTG-ATHZ-04 — referințe directe nesigure la obiecte (IDOR)owasp.org · consultat 22 octombrie 2026
  8. OWASP API Security Top 10:2023owasp.org · consultat 22 octombrie 2026
  9. OWASP Mobile Top 10 (2024)owasp.org · consultat 22 octombrie 2026
  10. PCI Security Standards Council — biblioteca de documente (PCI DSS v4.0.1)pcisecuritystandards.org · consultat 22 octombrie 2026
  11. A01:2025 Broken Access Controlowasp.org · consultat 22 octombrie 2026
  12. OWASP Top 10:2025 — pașii următori (X01–X03)owasp.org · consultat 22 octombrie 2026
  13. Depozitul OWASP Top 10 (istoricul publicării)github.com · consultat 22 octombrie 2026

Despre autori

Ghidurile le scrie echipa care face testele, nu un departament de marketing. Le actualizăm când se schimbă legea, standardul sau ce vedem în teste.

Echipa Pentest.mdIngineri de securitate cu certificări CEH, CISSP, CISA și CISM

Ghiduri conexe

Pentest pentru aplicații mobilePentest sau scanare de vulnerabilități?Cum vă pregătiți pentru un pentestCât costă un pentestGhidul PCI DSS v4.0.1Ghidul ISO 27001 și SOC 2Toate ghidurile →

Doriți aplicația testată pe toate cele zece?

Testare manuală pe OWASP Top 10:2025 și ASVS, cu dovezi, pași de remediere și re-test.

Solicitați o ofertă →Scrieți-ne o întrebare