OWASP Top 10 2025: Guia Completo das Vulnerabilidades Web Mais Críticas

O Que é o OWASP Top 10?

O OWASP Top 10 é um documento mantido pela OWASP (Open Worldwide Application Security Project) que reúne as vulnerabilidades mais críticas encontradas em aplicações web.

O projeto é baseado em dados reais coletados de milhares de aplicações avaliadas por empresas, consultorias e profissionais de segurança ofensiva ao redor do mundo.

O objetivo do Top 10 não é listar todas as vulnerabilidades existentes, mas destacar os riscos mais relevantes, exploráveis e frequentemente encontrados em ambientes reais.

O Que Mudou no OWASP Top 10 2025?

A edição de 2025 trouxe mudanças importantes em relação ao OWASP Top 10 2021.

O foco ficou muito mais voltado para:

• APIs modernas
• Cloud Security
• Supply Chain
• Pipelines CI/CD
• Configurações inseguras
• Arquitetura de aplicações
• Resiliência e tratamento de erros

Principais mudanças da versão 2025

• Security Misconfiguration subiu para a posição #2
• Software Supply Chain Failures substituiu "Vulnerable and Outdated Components"
• SSRF foi incorporado em Broken Access Control
• Mishandling of Exceptional Conditions entrou como nova categoria
• Maior foco em causas raiz e não apenas sintomas

OWASP Top 10 2025 — Lista Oficial

---

A01:2025 – Broken Access Control

Broken Access Control continua sendo a vulnerabilidade mais crítica do OWASP Top 10 2025.

Esse problema ocorre quando a aplicação falha em validar corretamente se um usuário realmente possui permissão para acessar determinado recurso.

Atualmente, a maioria dos casos ocorre em APIs REST utilizadas por SPAs, aplicativos mobile e arquiteturas baseadas em microservices.

Problemas comuns encontrados em pentests

• IDORs em APIs
• Escalação horizontal de privilégios
• Escalação vertical de privilégios
• SSRF
• Exposição entre tenants
• Bypass de autorização

Exemplo Vulnerável

// Vulnerável

app.get('/api/orders/:id', authenticate, async (req, res) => {

    const order = await db.orders.findUnique({
        where: {
            id: req.params.id
        }
    });

    res.json(order);

});
    

Problema

O backend valida apenas autenticação, mas não verifica se o pedido pertence ao usuário autenticado.

Correção

// Seguro

app.get('/api/orders/:id', authenticate, async (req, res) => {

    const order = await db.orders.findFirst({
        where: {
            id: req.params.id,
            ownerId: req.user.id
        }
    });

    if (!order) {
        return res.status(404).json({
            error: 'Not found'
        });
    }

    res.json(order);

});
    

---

A02:2025 – Security Misconfiguration

Security Misconfiguration cresceu significativamente devido ao aumento da complexidade de ambientes cloud, containers, Kubernetes e infraestrutura moderna.

Exemplos comuns

• Buckets públicos
• Debug habilitado em produção
• Kubernetes exposto
• CORS inseguro
• Permissões excessivas
• Painéis administrativos públicos
• Secrets expostos

Exemplo perigoso

// Vulnerável

app.use(cors({
    origin: '*',
    credentials: true
}));
    

Configurações inseguras continuam sendo uma das falhas mais exploradas em ambientes cloud modernos.

---

A03:2025 – Software Supply Chain Failures

Essa categoria substitui "Vulnerable and Outdated Components" e amplia o foco para todo o ecossistema de software.

Hoje o risco não está apenas em bibliotecas vulneráveis, mas também em:

• Pipelines CI/CD comprometidos
• Pacotes maliciosos
• Dependências inseguras
• Comprometimento de build systems
• Supply chain attacks

Ferramentas importantes

• Dependabot
• Snyk
• Trivy
• npm audit
• SBOM

---

A04:2025 – Cryptographic Failures

Falhas criptográficas continuam causando vazamento de dados sensíveis, comprometimento de contas e exposição de segredos.

Problemas comuns

• Senhas sem hashing adequado
• JWTs inseguros
• Secrets hardcoded
• Uso incorreto de TLS
• Algoritmos fracos

// Vulnerável

const JWT_SECRET = "123456";
    

Boas práticas

• bcrypt ou Argon2
• Secrets Manager
• Rotação de chaves
• TLS corretamente configurado

---

A05:2025 – Injection

Injection continua extremamente relevante, principalmente em aplicações legadas e queries dinâmicas.

Tipos comuns

• SQL Injection
• NoSQL Injection
• Command Injection
• XSS

// Vulnerável

const query = `
SELECT * FROM users
WHERE email = '${email}'
`;

await db.raw(query);
    

Mitigação

• Prepared Statements
• Validação de input
• ORMs corretamente configurados
• Least privilege

---

A06:2025 – Insecure Design

Muitas vulnerabilidades modernas surgem por falhas de arquitetura, e não apenas por erros de implementação.

Exemplos comuns

• Ausência de rate limiting
• Fluxos inseguros de recuperação de senha
• Trust excessivo no frontend
• Ausência de segregação entre tenants

Segurança deve ser considerada desde o design da aplicação.

---

A07:2025 – Authentication Failures

Authentication Failures mantém sua relevância, principalmente em aplicações modernas baseadas em JWT e OAuth.

Problemas comuns

• JWTs inseguros
• Ausência de MFA
• Session fixation
• Weak passwords
• Refresh tokens expostos

// Vulnerável

jwt.sign(payload, secret, {
    expiresIn: '365d'
});
    

---

A08:2025 – Software or Data Integrity Failures

Essa categoria envolve falhas na validação de integridade de software, código e dados.

Exemplos

• Atualizações sem verificação
• Deserialization insegura
• Pipelines inseguros
• Assinaturas não verificadas

---

A09:2025 – Security Logging & Alerting Failures

Logs sem alertas eficientes possuem pouco valor prático.

Muitas empresas só descobrem incidentes semanas ou meses depois.

Boas práticas

• Centralização de logs
• SIEM
• Alertas automatizados
• Monitoramento contínuo

---

A10:2025 – Mishandling of Exceptional Conditions

Essa nova categoria foca em tratamento incorreto de erros, falhas lógicas e comportamentos inseguros em situações excepcionais.

Exemplos comuns

• Fail open
• Mensagens de erro excessivas
• Null pointer issues
• Improper error handling
• Bypass causado por falhas inesperadas

// Vulnerável

if (!user) {
    return next();
}
    

Em muitos casos, erros inesperados acabam permitindo bypass de fluxos críticos de segurança.

---

Ferramentas Utilizadas em Pentests Modernos

• Burp Suite Professional
• OWASP ZAP
• Caido
• ffuf
• nuclei
• httpx
• katana
• Semgrep
• Trivy
• TruffleHog

Como Empresas Podem Reduzir Riscos

• Pentest recorrente
• Threat Modeling
• Secure Code Review
• DevSecOps
• Treinamento contínuo
• Gestão de vulnerabilidades
• Pipeline automatizado de segurança

Checklist Básico de Segurança

Conclusão

O OWASP Top 10 2025 mostra como os riscos modernos estão cada vez mais relacionados a APIs, cloud, supply chain e arquitetura de aplicações.

Atualmente, muitos incidentes graves acontecem não por exploits extremamente sofisticados, mas por falhas simples de autorização, configurações inseguras e problemas arquiteturais.

Segurança moderna exige validação contínua, revisão manual e entendimento profundo do comportamento da aplicação.

---