Controllo degli accessi interrotto
Chi può vedere o fare cosa. Include IDOR, BOLA e SSRF.
home / risorse / vulnerabilità
atlante delle vulnerabilità
Le vulnerabilità web più sfruttate, partendo da OWASP Top 10.
IDOR, BOLA, injection, XSS, SSRF e le altre classi che ricorrono nelle applicazioni. Per ciascuna: come si riconosce, cosa può causare e come si corregge.
classi web più sfruttate
Dieci classi, con il nome OWASP e il nome usato nei test.
L'ordine segue la posizione OWASP 2025 e la frequenza che i report di settore indicano. Non esiste una graduatoria unica pubblicata per ogni classe: va letto come priorità di verifica, non come classifica.
| Classe | OWASP 2025 | Come nasce | Come la verifichiamo |
|---|---|---|---|
| IDOR / BOLA | A01 Controllo degli accessi | Un identificativo nella richiesta non è controllato rispetto all'utente | Stesse richieste con ruoli diversi, confronto con la matrice |
| Injection (SQL, comandi) | A05 Injection | L'input finisce in una query o in un comando senza separazione | Input controllati e osservazione della risposta |
| Cross-site scripting (XSS) | A05 Injection | Contenuto non codificato viene eseguito nel browser | Verifica di come l'output viene reso nelle pagine |
| SSRF | A01 Controllo degli accessi (dal 2025) | Il server richiede un indirizzo scelto dall'utente, anche interno | Verifica delle destinazioni che il server può raggiungere |
| Bypass dell'autenticazione | A07 Autenticazione | Reset, sessioni e limiti ai tentativi deboli | Revisione dei flussi di accesso e di recupero |
| Mass assignment | A01 Controllo degli accessi | Il server accetta campi che il client non dovrebbe impostare | Confronto tra campi inviati e campi accettati |
| Path traversal | A01 Controllo degli accessi | Un percorso di file viene costruito con input dell'utente | Verifica dei percorsi che il server accetta |
| Deserializzazione insicura | A08 Integrità | Oggetti serializzati accettati senza verifica | Revisione dei formati di input accettati |
| Configurazioni errate | A02 Configurazioni errate | Impostazioni predefinite, debug attivo, header mancanti | Revisione della configurazione |
| Componenti vulnerabili | A03 Catena di fornitura | Librerie con falle note non aggiornate | Inventario confrontato con i database di vulnerabilità |
OWASP Top 10 2025
Le dieci categorie, nell'ordine dell'edizione 2025.
Ogni categoria ha una pagina propria, con cos'è, l'impatto tipico, come la verifichiamo e come si corregge.
| Posizione | Categoria | Cosa indica | Cosa è cambiato nel 2025 |
|---|---|---|---|
| 1 | Controllo degli accessi interrotto | Chi può vedere o fare cosa non è applicato | Include le richieste lato server (SSRF) |
| 2 | Configurazioni di sicurezza errate | Impostazioni predefinite o dimenticate | Sale dal 5° al 2° posto |
| 3 | Fallimenti nella catena di fornitura del software | Librerie, strumenti di build e distribuzione | Categoria ampliata rispetto al 2021 |
| 4 | Fallimenti crittografici | Dati sensibili non protetti come dovrebbero | Scende dal 2° al 4° posto |
| 5 | Injection | Un input cambia il comportamento del sistema | Scende dal 3° al 5° posto |
| 6 | Progettazione insicura | Controlli assenti per scelta di progetto | Scende dal 4° al 6° posto |
| 7 | Fallimenti dell'autenticazione | Identità non verificate o sessioni deboli | Nome reso più preciso |
| 8 | Fallimenti di integrità di software e dati | Aggiornamenti e dati accettati senza verifica | Stessa categoria, verifica più esplicita |
| 9 | Fallimenti di logging e allerta | Eventi che passano inosservati | Conta l'allerta utile, non solo la registrazione |
| 10 | Gestione impropria delle condizioni eccezionali | Errori che lasciano il sistema in stato non sicuro | Categoria nuova nel 2025 |
le categorie OWASP 2025
Una pagina per ogni categoria.
Configurazioni di sicurezza errate
Impostazioni predefinite, debug attivo, header mancanti.
Fallimenti della catena di fornitura
Librerie, pipeline e distribuzione del software.
Fallimenti crittografici
Dati sensibili non protetti come dovrebbero.
Injection
SQL, comandi di sistema e cross-site scripting.
Progettazione insicura
Controlli assenti per scelta di progetto.
Fallimenti dell'autenticazione
Login, recupero password, sessioni.
Fallimenti di integrità
Aggiornamenti e dati accettati senza verifica.
Fallimenti di logging e allerta
Eventi che passano inosservati.
Condizioni eccezionali
Errori che lasciano il sistema in stato non sicuro.
cosa viene sfruttato oggi
Quattro dati che spiegano perché la correzione conta.
Il 31% degli ingressi passa da vulnerabilità
Lo sfruttamento di vulnerabilità è ora il primo punto d'ingresso nelle violazioni, davanti alle credenziali rubate (13%) e al phishing (16%).
Solo il 26% delle vulnerabilità note viene corretto del tutto
Nel catalogo CISA KEV la correzione completa scende dal 38% al 26% in un anno, e la correzione mediana richiede 43 giorni.
Le terze parti sono coinvolte nel 48% delle violazioni
Il dato cresce del 60% rispetto all'anno precedente. Anche il codice di altri entra nel perimetro.
100 vulnerabilità sfruttate aggiunte in tre mesi
È un dato di un'analisi di terzi. Il catalogo ufficiale di CISA resta la fonte da controllare.
Come leggere questa sezione. Le classifiche cambiano ogni anno. Ogni pagina dice da quale fonte viene il dato, e distingue ciò che è verificato da ciò che è una stima.
Vuoi sapere quali di queste categorie riguardano la tua applicazione?
Partiamo dal perimetro e dalla matrice dei ruoli. Ti rispondiamo a mano con una proposta scritta.