Сопоставление Middle OWASP Top 10 и API Top 10 обновлено
Пример и категория OWASP API Top 10
Вопрос
Сопоставьте пример с категорией OWASP API Security Top 10.
Попробуйте сами
Нажмите слева, потом подходящее справа.
Показать ответ и разбор
Коротко
Mass assignment и избыточное раскрытие полей с 2023 года объединены в категорию про свойства объекта. Бизнес-потоки выделены отдельно: технически запросы корректны, но их автоматизация вредит бизнесу.
Правильные пары
GET /api/invoices/77 отдаёт счёт другой компанииBOLAPATCH /api/me с полем "role": "admin" меняет рольBroken Object Property Level AuthorizationПользователь вызывает
POST /api/admin/refundsBFLAЗабытый
/v1/ без проверок работает рядом с /v3/Improper Inventory ManagementБот выкупает все билеты на концерт за секундуUnrestricted Access to Sensitive Business Flows
Разбор
Mass assignment и избыточное раскрытие полей с 2023 года объединены в категорию про свойства объекта. Бизнес-потоки выделены отдельно: технически запросы корректны, но их автоматизация вредит бизнесу.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Ещё по теме «OWASP Top 10 и API Top 10»
- Первое место OWASP Top 10
- BOLA в API
- Unrestricted Resource Consumption
- Зачем ASVS
- BFLA
- CWE и CVE
- OWASP API Top 10 2023
- Базовые принципы защиты