Lexique des
Vulnérabilités
Une vulnérabilité Web est un type spécifique d'erreur de programmation ou de configuration. Les vulnérabilités permettent aux pirates malveillants d'accéder à des ressources qui devraient être inaccessibles, notamment des données sensibles, le code d'application ou le système d'exploitation du serveur Web. Ces failles de sécurité peuvent également permettre aux attaquants d'utiliser votre site Web ou votre application Web vulnérable comme outil pour d'autres activités malveillantes, telles que les attaques de phishing.
RCE
Exécution de code à distance (RCE)
L'exécution de code à distance (RCE) est une vulnérabilité qui permet à un pirate malveillant d'exécuter du code arbitraire dans le langage de programmation dans lequel le développeur a écrit cette application.
SQLi
Injection SQL (SQLi)
L' injection SQL (SQLi) est une vulnérabilité qui permet à un pirate malveillant d'introduire (d'injecter) du code SQL indésirable dans les requêtes SQL exécutées par le logiciel.
SHELL
Injection de commandes du système d'exploitation
L'injection de commandes du système d'exploitation est une vulnérabilité qui permet à un pirate malveillant de tromper une application pour qu'elle exécute des commandes du système d'exploitation (OS).
SSRF
Contrefaçon de requête côté serveur (SSRF)
La contrefaçon de requête côté serveur (SSRF) est une vulnérabilité qui permet à un pirate malveillant d'envoyer une requête depuis le back-end du logiciel vers un autre serveur ou vers un service local.
LFI
Inclusion de fichiers locaux (LFI)
L'inclusion de fichiers locaux (LFI) est une vulnérabilité Web qui permet à un pirate malveillant d'accéder, d'afficher et/ou d'inclure des fichiers situés dans le système de fichiers du serveur Web dans le dossier racine du document.
RFI
Inclusion de fichiers à distance (RFI)
L'inclusion de fichiers à distance (RFI) est une vulnérabilité Web qui permet à un pirate malveillant de forcer l'application à inclure des fichiers de code arbitraires importés d'un autre emplacement, par exemple, un serveur contrôlé par l'attaquant.
DT
Traversée de répertoire
La traversée de répertoire ( traversée de chemin ) est une vulnérabilité Web qui permet à un pirate malveillant d'accéder et d'afficher des fichiers situés dans le système de fichiers du serveur Web.
XSS
Script intersite (XSS)
Le script intersite (XSS) est une vulnérabilité Web qui permet à un pirate malveillant d'introduire (d'injecter) des commandes indésirables dans du code côté client légitime (généralement JavaScript) exécuté par un navigateur au nom de l'application Web.
CSRF
Falsification de requête intersite (CSRF)
La falsification de requêtes intersites ( CSRF ) est une vulnérabilité Web qui permet à un pirate malveillant de tromper la victime en soumettant une requête qui permet à l'attaquant d'effectuer des actions de changement d'état au nom de la victime.
XXE
Entité externe XML (XXE)
Les vulnérabilités d'entité externe XML (XXE) (également appelées injections d'entité externe XML ou injections XXE ) se produisent si une application Web ou une API accepte des données XML non nettoyées et que son analyseur XML principal est configuré pour autoriser l'analyse d'entité XML externe.
CRLF
Injection CRLF
L'injection CRLF est une vulnérabilité qui permet à un pirate malveillant d'injecter des caractères de retour chariot (CR) et de saut de ligne (LF) pour modifier le fonctionnement d'une application Web ou pour confondre son administrateur.
MAILS
Injection d'e-mails
L'injection d'e-mails est une vulnérabilité qui permet à un pirate malveillant d'abuser des fonctionnalités liées aux e-mails, telles que les formulaires de contact par e-mail sur les pages Web, pour envoyer du contenu d'e-mail malveillant à des destinataires arbitraires.
HTML
Injection HTML
L'injection HTML est une vulnérabilité Web qui permet à un attaquant d'injecter du contenu HTML malveillant dans le code HTML légitime d'une application Web.
NoSQL
Injection NoSQL
L'injection NoSQL est une vulnérabilité qui permet à un pirate malveillant d'introduire (d'injecter) du code indésirable dans les requêtes de base de données exécutées par les bases de données NoSQL.
JSON
Injection JSON
L'injection JSON est une vulnérabilité qui permet à un pirate malveillant d'injecter des données malveillantes dans des flux JSON ou d'utiliser des flux JSON malveillants pour modifier le comportement de l'application.
IDOR
Références d'objet directes non sécurisées (IDOR)
Les références d'objet direct non sécurisées (IDOR) sont des vulnérabilités qui se produisent lorsqu'un développeur d'applications Web utilise uniquement des identifiants pour pointer directement vers des éléments de page qui doivent être soumis à un contrôle d'accès ou nécessitent une autorisation.
DL
Liste du répertoire
La liste de répertoires est une fonction de serveur Web qui peut provoquer une vulnérabilité. Lorsqu'il est activé, il affiche le contenu d'un répertoire qui n'a pas de fichier d'index.