Alle Prüfungen, die wir durchführen, aufgeteilt nach ihren Voraussetzungen. Prüfungen ohne Inhabernachweis laufen bei jedem Scan für jede öffentliche Website. Inhaber-Prüfungen senden Testanfragen und laufen daher erst, nachdem Sie Ihre Domain verifiziert haben. Kostenpflichtige Prüfungen sind die erweiterten, an denen wir gerade arbeiten.
324 Prüfungen in 33 Modulen
| SCHWEREGRAD | PRÜFUNG | MODUL | ID | Kein Inhabernachweis nötig(179) | Nur für Website-Inhaber(127) | Kostenpflichtig(18) |
|---|---|---|---|---|---|---|
| KRITISCH | LLM API key trong bundle (sk-/sk-ant-) | AI / LLM | AI-007 | Kein Inhabernachweis nötigDemnächst | · | · |
| KRITISCH | Domain của NS chưa đăng ký (takeover) | DNS | DNS-011 | Kein Inhabernachweis nötigDemnächst | · | · |
| KRITISCH | Umgebungsdatei (.env) ist öffentlich lesbar Jeder kann diese Variablen herunterladen, meist Datenbank-URLs und API-Schlüssel. Bots scannen ständig nach | Offengelegte Dateien | EXP-001 | Kein Inhabernachweis nötig | · | · |
| KRITISCH | Git-Repository ist offengelegt
| Offengelegte Dateien | EXP-002 | Kein Inhabernachweis nötig | · | · |
| KRITISCH | Backup archive is downloadable A site or database backup ( | Offengelegte Dateien | EXP-003 | Kein Inhabernachweis nötig | · | · |
| KRITISCH | terraform.tfstate is exposed A Terraform state file is downloadable. State stores your infrastructure layout and often plaintext secrets (DB passwords, access keys). | Offengelegte Dateien | EXP-025 | Kein Inhabernachweis nötig | · | · |
| KRITISCH | SQL database dump is exposed A full SQL dump is downloadable. It can contain your entire database — users, password hashes and private data. | Offengelegte Dateien | EXP-026 | Kein Inhabernachweis nötig | · | · |
| KRITISCH | Private SSH key is exposed A private SSH key is downloadable. Anyone with it may be able to log in to your servers. | Offengelegte Dateien | EXP-031 | Kein Inhabernachweis nötig | · | · |
| KRITISCH | SPF include trỏ domain chưa đăng ký | MAIL-010 | Kein Inhabernachweis nötigDemnächst | · | · | |
| KRITISCH | Google Web Risk (không Safe Browsing) | Reputation | REP-001 | Kein Inhabernachweis nötigDemnächst | · | · |
| KRITISCH | Chèn script/SEO spam/deface | Reputation | REP-003 | Kein Inhabernachweis nötigDemnächst | · | · |
| KRITISCH | Geheime Schlüssel im clientseitigen Code offengelegt In JavaScript, das an jeden Besucher ausgeliefert wird, wurden private API-Schlüssel gefunden. Jeder kann sie kopieren und deine Konten nutzen. | Clientseitige Secrets | SEC-001 | Kein Inhabernachweis nötig | · | · |
| KRITISCH | Supabase-service_role-Key offengelegt Der service_role-Key umgeht Row Level Security vollständig. Wer ihn besitzt, kann jede Tabelle lesen und ändern. | Clientseitige Secrets | SEC-002 | Kein Inhabernachweis nötig | · | · |
| KRITISCH | Private key EC/OpenSSH/DSA/PGP | Secret phía client | SEC-029 | Kein Inhabernachweis nötigDemnächst | · | · |
| KRITISCH | CVE trong CISA KEV | Tech / CVE / KEV / EOL | TECH-003 | Kein Inhabernachweis nötigDemnächst | · | · |
| KRITISCH | Next.js version → CVE-2025-29927/55182 | Tech / CVE / KEV / EOL | TECH-015 | Kein Inhabernachweis nötigDemnächst | · | · |
| KRITISCH | TLS-Zertifikat abgelaufen oder läuft bald ab Läuft das Zertifikat ab, zeigen Browser eine ganzseitige Sicherheitswarnung an, und die meisten Besucher springen ab. | Transport & TLS | TLS-002 | Kein Inhabernachweis nötig | · | · |
| HOCH | WP plugin/theme CVE (Wordfence feed) | CMS | CMS-016 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Joomla config/version (CVE-2023-23752 KEV) | CMS | CMS-018 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Magento version + EOL + config | CMS | CMS-022 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | CORS spiegelt jeden Origin Dein Server spiegelt jeden Origin in Access-Control-Allow-Origin zurück. Sind Credentials erlaubt, kann jede Website die Daten deiner Nutzer lesen. | HTTP-Header | COR-001 | Kein Inhabernachweis nötig | · | · |
| HOCH | Subdomain takeover (can-i-take-over-xyz) | DNS | DNS-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Domain sắp hết hạn (RDAP) | DNS | DNS-007 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Zone transfer AXFR mở | DNS | DNS-009 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | DNSSEC hỏng/thuật toán yếu | DNS | DNS-015 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Subversion repository is exposed An | Offengelegte Dateien | EXP-010 | Kein Inhabernachweis nötig | · | · |
| HOCH | .hg/ repo lộ | File & path bị lộ | EXP-011 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | docker-compose.yml is exposed Your | Offengelegte Dateien | EXP-013 | Kein Inhabernachweis nötig | · | · |
| HOCH | appsettings.json is exposed A .NET | Offengelegte Dateien | EXP-015 | Kein Inhabernachweis nötig | · | · |
| HOCH | .npmrc auth token is exposed An | Offengelegte Dateien | EXP-018 | Kein Inhabernachweis nötig | · | · |
| HOCH | .htpasswd is exposed An | Offengelegte Dateien | EXP-030 | Kein Inhabernachweis nötig | · | · |
| HOCH | .pypirc credential is exposed A | Offengelegte Dateien | EXP-032 | Kein Inhabernachweis nötig | · | · |
| HOCH | __NEXT_DATA__/RSC lộ dữ liệu server (PII, token) | JS & framework | JS-011 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Next/Vite/Nuxt phiên bản có CVE | JS & framework | JS-018 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | DANE TLSA cho MX | MAIL-005 | Kein Inhabernachweis nötigDemnächst | · | · | |
| HOCH | phpMyAdmin | Panel & dịch vụ bị lộ | PNL-001 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Adminer | Panel & dịch vụ bị lộ | PNL-002 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Spamhaus DBL/ZEN (cần DQS key) | Reputation | REP-002 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Script từ domain hết hạn | Reputation | REP-004 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | URLhaus / ThreatFox | Reputation | REP-005 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | OpenPhish feed | Reputation | REP-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | NEXT_PUBLIC_/VITE_ var nhạy cảm | Secret phía client | SEC-005 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Mapbox secret token sk. | Secret phía client | SEC-014 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | SendGrid API key | Secret phía client | SEC-016 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Twilio SID+key | Secret phía client | SEC-017 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Mailgun key | Secret phía client | SEC-018 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Shopify token (shpat_/shpca_…) | Secret phía client | SEC-019 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Google OAuth client secret GOCSPX- | Secret phía client | SEC-020 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Firebase FCM server key (legacy) | Secret phía client | SEC-021 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Doppler/Linear/Notion/Postman/npm/PyPI token | Secret phía client | SEC-023 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | DigitalOcean/Cloudflare/HashiCorp token | Secret phía client | SEC-024 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Airtable PAT | Secret phía client | SEC-025 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Square/PayPal/Razorpay/Paystack key | Secret phía client | SEC-026 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Basic-auth creds trong URL | Secret phía client | SEC-032 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | CDN bị chiếm (polyfill.io, bootcss…) | Supply chain | SUP-002 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Script trên bucket/host dangling | Supply chain | SUP-005 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | JS library có CVE (retire.js) | Tech / CVE / KEV / EOL | TECH-011 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | Vite dev server prod → CVE-2025-30208 | Tech / CVE / KEV / EOL | TECH-016 | Kein Inhabernachweis nötigDemnächst | · | · |
| HOCH | HTTPS wird nicht erzwungen Die Website wird nicht über HTTPS ausgeliefert, oder einfaches HTTP leitet nicht auf HTTPS um. Der Datenverkehr kann in öffentlichen WLANs gelesen oder verändert werden. | Transport & TLS | TLS-001 | Kein Inhabernachweis nötig | · | · |
| HOCH | TLS-Zertifikat wird nicht als vertrauenswürdig eingestuft Browser lehnen das Zertifikat ab (falscher Hostname, selbstsigniert oder unvollständige Kette), daher sehen Besucher eine Sicherheitswarnung. | Transport & TLS | TLS-003 | Kein Inhabernachweis nötig | · | · |
| HOCH | Cert bị thu hồi (CRL) | Transport & TLS | TLS-007 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | JWT thiếu exp / exp quá dài / thiếu aud | Auth / session / JWT | AUTH-003 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Session cookie flag (test login) | Auth / session / JWT | AUTH-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Cookies ohne Sicherheits-Flags Cookies ohne Secure, HttpOnly oder SameSite können über HTTP abgefangen, von eingeschleusten Skripten gelesen oder mit Cross-Site-Anfragen gesendet werden. | HTTP-Header | CK-001 | Kein Inhabernachweis nötig | · | · |
| MITTEL | Cookie/JWT đọc được (alg:none, PII, role trong claim) | Cookie | CK-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | WP REST user enumeration | CMS | CMS-012 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | WP xmlrpc listMethods | CMS | CMS-013 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Drupal version + EOL + user enum | CMS | CMS-020 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Shopify fingerprint + app secret leak | CMS | CMS-025 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | SPF-Eintrag fehlt Ohne SPF können empfangende Mailserver nicht erkennen, welche Server E-Mails für deine Domain senden dürfen, was Spoofing erleichtert. | DNS & E-Mail | DNS-001 | Kein Inhabernachweis nötig | · | · |
| MITTEL | DMARC fehlt oder wird nicht durchgesetzt Ohne durchgesetzte DMARC-Policy können Angreifer E-Mails senden, die scheinbar von deiner Domain stammen. | DNS & E-Mail | DNS-002 | Kein Inhabernachweis nötig | · | · |
| MITTEL | NS là open resolver | DNS | DNS-008 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | CA lạ cấp cert (crt.sh) | Domain / CT | DOM-002 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Subdomain nhạy cảm từ CT log (dev/staging/admin) | Domain / CT | DOM-003 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Directory listing | File & path bị lộ | EXP-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | web.config is exposed An ASP.NET | Offengelegte Dateien | EXP-014 | Kein Inhabernachweis nötig | · | · |
| MITTEL | Content-Security-Policy fehlt oder ist schwach Ohne starke CSP läuft jedes eingeschleuste Skript mit vollem Zugriff auf deine Seite und die Sitzungen deiner Nutzer. | HTTP-Header | HDR-001 | Kein Inhabernachweis nötig | · | · |
| MITTEL | Clickjacking-Schutz fehlt Andere Websites können deine Seiten in einem versteckten Frame laden und Nutzer dazu verleiten, auf Schaltflächen zu klicken. | HTTP-Header | HDR-002 | Kein Inhabernachweis nötig | · | · |
| MITTEL | CSP yếu (unsafe-eval, *, data: trong script-src) — logic CSP Evaluator | HTTP header | HDR-005 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Response cache được mà có Set-Cookie | Hành vi HTTP | HTTP-010 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | postMessage không kiểm Origin (static) | Injection / XSS / SSRF | INJ-010 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Nuxt __NUXT__ state leak | JS & framework | JS-012 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | SvelteKit/Remix loader data leak | JS & framework | JS-013 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Next Server Action ID disclosure | JS & framework | JS-016 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Route admin/debug hardcode trong router | JS & framework | JS-021 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | SPF quá rộng/invalid (+all, >10 lookup, ptr) | MAIL-001 | Kein Inhabernachweis nötigDemnächst | · | · | |
| MITTEL | MX thiếu STARTTLS / cert xấu (cần egress :25) | MAIL-003 | Kein Inhabernachweis nötigDemnächst | · | · | |
| MITTEL | MX dangling/misconfig | MAIL-007 | Kein Inhabernachweis nötigDemnächst | · | · | |
| MITTEL | Domain không gửi mail thiếu -all + p=reject | MAIL-008 | Kein Inhabernachweis nötigDemnächst | · | · | |
| MITTEL | DKIM key yếu (RSA ≤1024) / test mode | MAIL-011 | Kein Inhabernachweis nötigDemnächst | · | · | |
| MITTEL | Tracker/cookie trước khi consent (EU) | Privacy | PRV-003 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | IP hosting có port/CVE lộ (Shodan InternetDB) | Reputation | REP-007 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | UA cloaking (SEO spam) | Reputation | REP-008 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Google API key AIza… | Secret phía client | SEC-010 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Algolia app+API key | Secret phía client | SEC-012 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | HuggingFace token hf_ | Secret phía client | SEC-022 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Slack webhook URL | Secret phía client | SEC-027 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | JS library có CVE (retire.js) — gộp với TECH-011 | Supply chain | SUP-003 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Script không pin version (@latest, raw github) | Supply chain | SUP-004 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Form login/payment post sang host lạ/HTTP | Supply chain | SUP-008 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Version có CVE (OSV/NVD/GHSA) | Tech / CVE / KEV / EOL | TECH-002 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Phần mềm EOL (endoflife.date) | Tech / CVE / KEV / EOL | TECH-004 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | WordPress core/plugin/theme CVE | Tech / CVE / KEV / EOL | TECH-005 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | TLS 1.0/1.1, cipher yếu | Transport & TLS | TLS-004 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | HSTS fehlt oder ist zu kurz Ohne Strict-Transport-Security kann ein Besuch von einem Angreifer im selben Netzwerk auf HTTP heruntergestuft werden. | Transport & TLS | TLS-005 | Kein Inhabernachweis nötig | · | · |
| MITTEL | Khoá/chữ ký yếu (RSA<2048, SHA-1) | Transport & TLS | TLS-008 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | DH params yếu (Logjam) | Transport & TLS | TLS-009 | Kein Inhabernachweis nötigDemnächst | · | · |
| MITTEL | Chain thiếu intermediate (browser giấu, API vỡ) | Transport & TLS | TLS-012 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | API thiếu security header | API | API-008 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Thiếu header rate-limit | API | API-016 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Vi phạm prefix (__Secure- không Secure, SameSite=None không Secure) | Cookie | CK-003 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Cookie Domain quá rộng (.example.com) | Cookie | CK-004 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Session cookie sống quá lâu (>30 ngày) | Cookie | CK-005 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | S3 bucket tồn tại (AccessDenied) | Cloud storage | CLD-002 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Dấu hiệu SSRF metadata (169.254.169.254) | Cloud storage | CLD-010 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | WP wp-cron / uploads listing | CMS | CMS-014 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Ghost admin + version | CMS | CMS-024 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | WP readme.html core version | CMS | CMS-027 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | ACAO * trên API JSON /api/* | CORS | COR-004 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | DKIM selector phổ biến | DNS | DNS-003 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Kein CAA-Eintrag Jede Zertifizierungsstelle kann Zertifikate für deine Domain ausstellen. CAA beschränkt die Ausstellung auf die CAs, die du tatsächlich nutzt. | DNS & E-Mail | DNS-004 | Kein Inhabernachweis nötig | · | · |
| NIEDRIG | NS kém bền (số lượng, cùng /24, lame) | DNS | DNS-010 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | IP nội bộ trong DNS công khai | DNS | DNS-016 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Thiếu registrar transfer lock (RDAP) | Domain / CT | DOM-001 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | .DS_Store file is exposed A macOS | Offengelegte Dateien | EXP-004 | Kein Inhabernachweis nötig | · | · |
| NIEDRIG | firebase.json / .firebaserc lộ | File & path bị lộ | EXP-019 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | vercel.json / netlify.toml lộ | File & path bị lộ | EXP-020 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Grundlegende Sicherheits-Header fehlen X-Content-Type-Options und Referrer-Policy sind günstige Standardeinstellungen, die MIME-Sniffing blockieren und verhindern, dass vollständige URLs an andere Websites gelangen. | HTTP-Header | HDR-003 | Kein Inhabernachweis nötig | · | · |
| NIEDRIG | Server- oder Framework-Version wird offengelegt Versions-Banner helfen Angreifern, deinen Stack mit bekannten Schwachstellen abzugleichen. | HTTP-Header | HDR-004 | Kein Inhabernachweis nötig | · | · |
| NIEDRIG | Header lỗi thời/nguy hiểm (HPKP, X-XSS-Protection≠0) | HTTP header | HDR-009 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Referrer-Policy yếu (unsafe-url) | HTTP header | HDR-010 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Header trùng/xung đột/sai cú pháp | HTTP header | HDR-011 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Header lộ stack (X-AspNet-Version, X-Runtime, IP nội bộ) | HTTP header | HDR-012 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Trang auth thiếu Cache-Control: no-store | HTTP header | HDR-013 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Header không nhất quán giữa các path | HTTP header | HDR-014 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | sitemap lộ URL/host không công khai | Hành vi HTTP | HTTP-007 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Trang mặc định/placeholder (nginx welcome, parking) | Hành vi HTTP | HTTP-012 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | localhost/IP nội bộ/preview URL trong bundle | JS & framework | JS-020 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Comment lộ TODO/credential/host nội bộ | JS & framework | JS-022 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | _buildManifest.js lộ route ẩn | JS & framework | JS-027 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | DMARC yếu (pct<100, sp=none, no rua) | MAIL-002 | Kein Inhabernachweis nötigDemnächst | · | · | |
| NIEDRIG | MTA-STS / TLS-RPT thiếu/hỏng | MAIL-004 | Kein Inhabernachweis nötigDemnächst | · | · | |
| NIEDRIG | Không có link privacy policy | Privacy | PRV-004 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Session replay trên trang form (Hotjar/Clarity) | Privacy | PRV-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Source Maps öffentlich zugänglich Dein ursprünglicher Quellcode lässt sich aus den | Clientseitige Secrets | SEC-004 | Kein Inhabernachweis nötig | · | · |
| NIEDRIG | URL nội bộ/staging trong JS | Secret phía client | SEC-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Sentry DSN | Secret phía client | SEC-015 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Chuỗi entropy cao gần keyword credential | Secret phía client | SEC-030 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Script/CSS bên thứ ba không SRI | Supply chain | SUP-001 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | SRI yếu (sha1/md5) / thiếu crossorigin | Supply chain | SUP-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Link social/GitHub có thể hijack | Supply chain | SUP-007 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Header version mở rộng (X-Runtime, X-Drupal-Cache) | Tech / CVE / KEV / EOL | TECH-013 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | <meta generator> lộ version | Tech / CVE / KEV / EOL | TECH-014 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Mixed content | Transport & TLS | TLS-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Không forward secrecy / không AEAD (TLS1.2) | Transport & TLS | TLS-011 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Thiếu SCT (CT policy) | Transport & TLS | TLS-013 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Redirect sang host khác trước khi set HSTS | Transport & TLS | TLS-015 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Liệt kê table qua PostgREST OpenAPI | BaaS (Supabase/Firebase) | BAAS-001 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Supabase project + anon key (nền) | BaaS (Supabase/Firebase) | BAAS-010 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Firebase config extract (nền) | BaaS (Supabase/Firebase) | BAAS-021 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Session cookie thiếu prefix __Host- | Cookie | CK-002 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | DNSSEC | DNS | DNS-005 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Wildcard DNS | DNS | DNS-014 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | CSP chỉ report-only hoặc chỉ trong meta tag | HTTP header | HDR-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | COOP thiếu | HTTP header | HDR-007 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | CORP/COEP không set | HTTP header | HDR-008 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | robots.txt lộ path nhạy cảm | Hành vi HTTP | HTTP-006 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Không hỗ trợ HTTP/2; HTTP/3 info | Hành vi HTTP | HTTP-008 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Dấu hiệu request smuggling (passive) | Hành vi HTTP | HTTP-009 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Liệt kê bundle + trích endpoint (jsluice) — nền cho nhiều check | JS & framework | JS-010 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Fingerprint framework + version | JS & framework | JS-017 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | BIMI record (info) | MAIL-006 | Kein Inhabernachweis nötigDemnächst | · | · | |
| NIEDRIG | security.txt thiếu | Privacy | PRV-001 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | security.txt invalid | Privacy | PRV-002 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Google Fonts/3rd-party nhạy cảm EU | Privacy | PRV-005 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Nhận diện công nghệ + version (webappanalyzer) | Tech / CVE / KEV / EOL | TECH-001 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | EPSS enrichment (xếp hạng ưu tiên) | Tech / CVE / KEV / EOL | TECH-018 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | Không hỗ trợ TLS 1.3 | Transport & TLS | TLS-010 | Kein Inhabernachweis nötigDemnächst | · | · |
| NIEDRIG | HSTS thiếu includeSubDomains/preload | Transport & TLS | TLS-014 | Kein Inhabernachweis nötigDemnächst | · | · |
| KRITISCH | Next.js middleware bypass (gộp JS-014) | Access control / IDOR | AC-003 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | LLM proxy endpoint không auth (abuse) | AI / LLM | AI-002 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Key provider lộ qua error | AI / LLM | AI-006 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | MCP server lộ (tools/list, không gọi tool) | AI / LLM | AI-009 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | ChromaDB lộ (metadata) | AI / LLM | AI-012 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Stripe sk_live lộ / webhook không verify sig | API | API-015 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Supabase-Tabellen ohne Anmeldung lesbar Mit dem öffentlichen Anon-Key deiner Website konnten wir Zeilen dieser Tabellen lesen. Row Level Security ist deaktiviert, oder eine Policy erlaubt öffentliches Lesen. | Backend (Supabase / Firebase) | BAAS-002 | · | Nur für Website-Inhaber | · |
| KRITISCH | Firebase Realtime Database ist öffentlich lesbar Deine Datenbankregeln erlauben Lesezugriffe ohne Authentifizierung, sodass jeder die Daten herunterladen kann. | Backend (Supabase / Firebase) | BAAS-004 | · | Nur für Website-Inhaber | · |
| KRITISCH | Supabase table ghi được bằng anon (CVE-2025-48757) | BaaS (Supabase/Firebase) | BAAS-011 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | auth.users lộ qua view/API | BaaS (Supabase/Firebase) | BAAS-012 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | RLS tắt hàng loạt (splinter 0013) | BaaS (Supabase/Firebase) | BAAS-013 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Firestore đọc không auth | BaaS (Supabase/Firebase) | BAAS-022 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Hasura query anon (role permissive) | BaaS (Supabase/Firebase) | BAAS-032 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Firebase RTDB world-readable (GET only) | Cloud storage | CLD-008 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | WP DB backup / repair.php | CMS | CMS-011 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | WP wp-config backup / setup reachable | CMS | CMS-015 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Backup config CMS (wp-config.php~, .bak) | File & path bị lộ | EXP-027 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Hasura/PostGraphile admin mở | GraphQL | GQL-006 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Next.js middleware bypass CVE-2025-29927 (header) | JS & framework | JS-014 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | RSC RCE CVE-2025-55182 (probe không thực thi) | JS & framework | JS-015 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Actuator /heapdump tải được | Panel & dịch vụ bị lộ | PNL-005 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Elasticsearch không auth | Panel & dịch vụ bị lộ | PNL-009 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Docker Engine API lộ | Panel & dịch vụ bị lộ | PNL-010 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Kubelet/K8s API read-only | Panel & dịch vụ bị lộ | PNL-012 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Supabase Studio lộ | Panel & dịch vụ bị lộ | PNL-021 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Jupyter Notebook không auth | Panel & dịch vụ bị lộ | PNL-025 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | Flask/Werkzeug debugger | Panel & dịch vụ bị lộ | PNL-030 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | AI route thiếu rate limit | AI / LLM | AI-003 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | System prompt leakage | AI / LLM | AI-004 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Client override model/max_tokens | AI / LLM | AI-008 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Ollama lộ (/api/tags) | AI / LLM | AI-010 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | LM Studio/Open WebUI/vLLM lộ | AI / LLM | AI-011 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Qdrant lộ | AI / LLM | AI-013 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Weaviate lộ | AI / LLM | AI-014 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Output LLM render thành HTML (XSS) | AI / LLM | AI-017 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Mass assignment / field thừa (role, password_hash) | API | API-005 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | CORS reflect + credentials (API) | API | API-006 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Endpoint secured trả data khi không auth | API | API-007 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Actuator/metrics/debug lộ (gộp PNL-004/06) | API | API-011 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | OAuth redirect_uri validation yếu | Auth / session / JWT | AUTH-009 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Credential mặc định trên panel (1 lần/panel) | Auth / session / JWT | AUTH-010 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Supabase-Storage-Buckets sind auflistbar Jeder mit deinem öffentlichen Schlüssel kann Dateien in diesen Buckets auflisten, was häufig Uploads von Nutzern offenlegt. | Backend (Supabase / Firebase) | BAAS-003 | · | Nur für Website-Inhaber | · |
| HOCH | Firebase-Storage-Bucket ist öffentlich auflistbar Deine Storage-Regeln erlauben das Auflisten von Dateien ohne Authentifizierung. | Backend (Supabase / Firebase) | BAAS-005 | · | Nur für Website-Inhaber | · |
| HOCH | Security-definer view bypass RLS | BaaS (Supabase/Firebase) | BAAS-014 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | RPC function anon gọi được | BaaS (Supabase/Firebase) | BAAS-015 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Appwrite collection public | BaaS (Supabase/Firebase) | BAAS-027 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | PocketBase collection public list | BaaS (Supabase/Firebase) | BAAS-028 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Hasura introspection bật | BaaS (Supabase/Firebase) | BAAS-031 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Directus collection public | BaaS (Supabase/Firebase) | BAAS-033 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Strapi public API over-exposed | BaaS (Supabase/Firebase) | BAAS-034 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | S3 bucket public listing | Cloud storage | CLD-001 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | GCS bucket public listing | Cloud storage | CLD-003 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Azure Blob container public | Cloud storage | CLD-004 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | DigitalOcean Spaces public | Cloud storage | CLD-005 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Firebase Storage/Firestore open (GET only) | Cloud storage | CLD-009 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Subdomain takeover (dangling CNAME) | Cloud storage | CLD-011 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | WP debug.log lộ | CMS | CMS-010 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Drupal install.php reachable | CMS | CMS-021 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Installer CMS còn mở (wp/joomla/drupal) | CMS | CMS-026 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Origin: null được tin + credentials | CORS | COR-002 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Validate Origin theo prefix/suffix (bypass) | CORS | COR-003 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Trang debug (Django/Laravel/Next) | File & path bị lộ | EXP-007 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Core dump lộ | File & path bị lộ | EXP-033 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Không giới hạn depth/complexity | GraphQL | GQL-005 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Mutation reachable không auth (báo hiện diện) | GraphQL | GQL-007 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Reflected XSS (canary, không thực thi) | Injection / XSS / SSRF | INJ-001 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | SQLi indicator (error-based, 1 dấu nháy) | Injection / XSS / SSRF | INJ-004 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | NoSQL injection indicator ($ne) | Injection / XSS / SSRF | INJ-005 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Path traversal indicator (1 probe) | Injection / XSS / SSRF | INJ-007 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | SSTI indicator ({{7*7}}→49) | Injection / XSS / SSRF | INJ-008 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Open relay (cần egress :25) | MAIL-009 | · | Nur für Website-InhaberDemnächst | · | |
| HOCH | Spring Boot Actuator (/env, /mappings) | Panel & dịch vụ bị lộ | PNL-004 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Kubernetes Dashboard | Panel & dịch vụ bị lộ | PNL-011 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Jenkins | Panel & dịch vụ bị lộ | PNL-013 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | MinIO console | Panel & dịch vụ bị lộ | PNL-017 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Redis Commander | Panel & dịch vụ bị lộ | PNL-018 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Apache Solr admin | Panel & dịch vụ bị lộ | PNL-019 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Apache Airflow | Panel & dịch vụ bị lộ | PNL-020 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Laravel Telescope | Panel & dịch vụ bị lộ | PNL-027 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Google Maps key không giới hạn | Secret phía client | SEC-011 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Algolia key có ACL ghi/admin | Secret phía client | SEC-013 | · | Nur für Website-InhaberDemnächst | · |
| HOCH | Heartbleed/ROBOT/insecure renegotiation | Transport & TLS | TLS-017 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | ID tuần tự/đoán được (dấu hiệu IDOR) | Access control / IDOR | AC-008 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Rate limit login/AI endpoint | Quét chủ động | ACT-005 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | API version cũ/không tài liệu reachable | API | API-002 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Lỗi verbose (stack/DB driver) | API | API-003 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Method tampering / unsafe methods | API | API-004 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Lạm dụng pagination/limit | API | API-009 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Enumeration qua login/reset | Auth / session / JWT | AUTH-004 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | pg_graphql introspection mở cho anon | BaaS (Supabase/Firebase) | BAAS-016 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Realtime anon subscribe được | BaaS (Supabase/Firebase) | BAAS-017 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Edge Function không auth | BaaS (Supabase/Firebase) | BAAS-018 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Supabase signup mở (spraying) | BaaS (Supabase/Firebase) | BAAS-020 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Firebase anonymous auth bật | BaaS (Supabase/Firebase) | BAAS-024 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Firebase Remote Config đọc được | BaaS (Supabase/Firebase) | BAAS-026 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Convex function public | BaaS (Supabase/Firebase) | BAAS-030 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Cloudflare R2 public bucket | Cloud storage | CLD-006 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Swagger/OpenAPI, GraphQL introspection | File & path bị lộ | EXP-005 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Sourcemap .map lộ (full source) | File & path bị lộ | EXP-023 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Introspection bật ở prod | GraphQL | GQL-002 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Field suggestion ("did you mean") | GraphQL | GQL-003 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Batching/aliasing cho phép | GraphQL | GQL-004 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | GraphQL CSRF (GET/form mutation) | GraphQL | GQL-009 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Method nguy hiểm (PUT/DELETE/PROPFIND) | Hành vi HTTP | HTTP-002 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Host header injection | Hành vi HTTP | HTTP-003 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Open redirect qua ?next/url/redirect/returnTo | Hành vi HTTP | HTTP-004 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Lỗi/stack trace lộ (malformed request) | Hành vi HTTP | HTTP-005 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Web cache deception | Hành vi HTTP | HTTP-011 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Open redirect (canary host) | Injection / XSS / SSRF | INJ-002 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Header/host injection | Injection / XSS / SSRF | INJ-006 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Vite dev server shipped to prod (/@vite/client, /@fs/) | JS & framework | JS-025 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Prometheus /metrics | Panel & dịch vụ bị lộ | PNL-006 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Grafana (anon/default) | Panel & dịch vụ bị lộ | PNL-007 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Kibana | Panel & dịch vụ bị lộ | PNL-008 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Portainer | Panel & dịch vụ bị lộ | PNL-014 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Traefik dashboard/API | Panel & dịch vụ bị lộ | PNL-015 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | RabbitMQ management | Panel & dịch vụ bị lộ | PNL-016 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Go pprof/expvar | Panel & dịch vụ bị lộ | PNL-031 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Xác minh key còn sống (whoami an toàn) | Secret phía client | SEC-007 | · | Nur für Website-InhaberDemnächst | · |
| MITTEL | Dep từ package.json/composer.json → OSV | Tech / CVE / KEV / EOL | TECH-019 | · | Nur für Website-InhaberDemnächst | · |
| NIEDRIG | Joomla admin + registration mở | CMS | CMS-019 | · | Nur für Website-InhaberDemnächst | · |
| NIEDRIG | Preflight quá dễ dãi (ACAM PUT/DELETE) | CORS | COR-005 | · | Nur für Website-InhaberDemnächst | · |
| NIEDRIG | next/nuxt/vite config lộ | File & path bị lộ | EXP-022 | · | Nur für Website-InhaberDemnächst | · |
| NIEDRIG | TRACE/TRACK bật | Hành vi HTTP | HTTP-001 | · | Nur für Website-InhaberDemnächst | · |
| NIEDRIG | Phát hiện OpenAPI/Swagger + inventory | API | API-001 | · | Nur für Website-InhaberDemnächst | · |
| NIEDRIG | Phát hiện endpoint GraphQL | GraphQL | GQL-001 | · | Nur für Website-InhaberDemnächst | · |
| NIEDRIG | Thiếu Clear-Site-Data khi logout | HTTP header | HDR-015 | · | Nur für Website-InhaberDemnächst | · |
| KRITISCH | BOLA/IDOR (2 tài khoản test) | Access control / IDOR | AC-001 | · | · | KostenpflichtigDemnächst |
| KRITISCH | Role escalation qua mass assignment (no-op) | Access control / IDOR | AC-009 | · | · | KostenpflichtigDemnächst |
| KRITISCH | JWT alg:none / alg-confusion (token của chủ site) | Auth / session / JWT | AUTH-001 | · | · | KostenpflichtigDemnächst |
| KRITISCH | SSRF qua url/webhook param (OOB) | Injection / XSS / SSRF | INJ-003 | · | · | KostenpflichtigDemnächst |
| HOCH | Broken function-level auth (user → admin route) | Access control / IDOR | AC-002 | · | · | KostenpflichtigDemnächst |
| HOCH | Quét có đăng nhập + IDOR | Quét chủ động | ACT-004 | · | · | KostenpflichtigDemnächst |
| HOCH | Excessive agency (read-only probe) | AI / LLM | AI-016 | · | · | KostenpflichtigDemnächst |
| HOCH | JWT HS256 secret yếu (offline) | Auth / session / JWT | AUTH-002 | · | · | KostenpflichtigDemnächst |
| HOCH | Reset token yếu (dự đoán/trong response) | Auth / session / JWT | AUTH-005 | · | · | KostenpflichtigDemnächst |
| HOCH | Flow nhạy cảm thiếu anti-automation | Business logic | BIZ-001 | · | · | KostenpflichtigDemnächst |
| HOCH | Coupon/price/quantity tampering (no-op) | Business logic | BIZ-002 | · | · | KostenpflichtigDemnächst |
| HOCH | Bypass plan/feature-gate | Business logic | BIZ-003 | · | · | KostenpflichtigDemnächst |
| HOCH | Race condition redeem (2 request) | Business logic | BIZ-004 | · | · | KostenpflichtigDemnächst |
| HOCH | AI agent dò logic nghiệp vụ | Business logic | BIZ-006 | · | · | KostenpflichtigDemnächst |
| HOCH | A record trỏ IP cloud có thể mất quyền | Domain / CT | DOM-005 | · | · | KostenpflichtigDemnächst |
| MITTEL | Session không huỷ khi logout | Auth / session / JWT | AUTH-007 | · | · | KostenpflichtigDemnächst |
| MITTEL | Domain lookalike/typosquat (dnstwist) | Domain / CT | DOM-004 | · | · | KostenpflichtigDemnächst |
| MITTEL | Origin truy cập trực tiếp, bypass CDN/WAF | Hành vi HTTP | HTTP-013 | · | · | KostenpflichtigDemnächst |