OWASP TOP10 2025来了

Introduction - OWASP Top 10:2025 RC1

直接上图

✅ 新增与调整

1. 新增两个类别：

   • A03:2025 软件供应链失败（Software Supply Chain Failures）
     这是对 2021 年的 A06: Vulnerable and Outdated Components 的扩展，涵盖整个软件生态系统的依赖、构建系统和分发基础设施的安全问题。该类别在社区调查中被认为是最重要的新兴风险。
   • A10:2025 异常条件处理不当（Mishandling of Exceptional Conditions）
     新增类别，强调应用在处理异常、错误状态时的安全风险。

2. 合并调整：

   • SSRF（服务器端请求伪造） 已被整合到 A01: Broken Access Control 中。

🔄 排名变化

• A01: Broken Access Control 仍然保持第 1 位，风险最高。
• A02: Security Misconfiguration 从 2021 年的第 5 位上升到第 2 位，反映出配置错误在现代应用中更普遍。
• A04: Cryptographic Failures 从第 2 位下降到第 4 位。
• A05: Injection 从第 3 位下降到第 5 位。

📌 风险趋势

• 软件供应链攻击成为焦点，尽管测试数据中出现率低，但 CVE 的平均利用和影响评分最高。
• 配置错误频率显著增加，原因是现代应用越来越依赖配置驱动行为。
• 加密和注入类问题仍然常见，但相对排名下降。