Security Academy→OWASP
OWASP Top 10
Basert på OWASP Top 10:2025. Hver kategori som en review-oppgave.
A01
Broken Access Control
- Hva betyr dette?
- Brukere når data/funksjoner de ikke skal.
- Hvordan oppstår det i en AI-generert app?
- Rolle-sjekk kun i UI, server functions uten auth, IDOR, using(true).
- Hvordan finner jeg det?
- Kartlegg endpoints, sammenlign med hvem som skal ha tilgang.
- Hvordan tester jeg det?
- To brukere + replay av requests med byttet ID/token.
- Hvordan retter jeg det?
- Auth middleware + RLS + eierskap i hver query.
- Hvordan verifiserer jeg rettelsen?
- Automatisert test: A får 404 på Bs ressurs.