Security Academy→Security Lab
Security Lab
Scenario → Vulnerability → Inspect → Test → Explain → Fix → Verify. Kjør kun mot egne og lokale testapplikasjoner.
Authorisation og tilgangskontroll
IDOR: User A henter Project 102
Appen har Projects. User A eier Project 101, User B eier Project 102. Testes på din egen lokale app.
Authentication
Skjult Admin-knapp
Admin-panel vises bare for user.role === 'admin'. Panelet kaller deleteUser.
Database Security
RLS med using(true)
Tabellen notes har RLS aktivert, men policy er for select to authenticated using (true).
Secrets og API keys
Secret i JS-bundle
AI-funksjon kaller OpenAI direkte fra browseren med VITE_OPENAI_KEY.
Input Security
Stored XSS i kommentarer
Kommentarer støtter markdown og rendres med dangerouslySetInnerHTML.
File Upload Security
HTML-opplasting som PDF
Brukere laster opp «PDF-er» til offentlig bucket. Kun accept=".pdf" i skjemaet.