Tous les contrôles que nous effectuons, classés selon leurs conditions d'accès. Les contrôles sans preuve de propriété s'exécutent à chaque analyse, pour tout site public. Les contrôles propriétaire envoient des requêtes de test et ne s'exécutent donc qu'après avoir vérifié votre domaine. Les contrôles payants sont les contrôles avancés que nous développons.
324 contrôles dans 33 modules
| GRAVITÉ | CONTRÔLE | MODULE | ID | Sans preuve de propriété(179) | Réservé au propriétaire du site(127) | Payant(18) |
|---|---|---|---|---|---|---|
| CRITIQUE | LLM API key trong bundle (sk-/sk-ant-) | AI / LLM | AI-007 | Sans preuve de propriétéBientôt | · | · |
| CRITIQUE | Domain của NS chưa đăng ký (takeover) | DNS | DNS-011 | Sans preuve de propriétéBientôt | · | · |
| CRITIQUE | Fichier d'environnement (.env) lisible publiquement N'importe qui peut télécharger ces variables, généralement des URL de base de données et des clés d'API. Des robots recherchent en permanence | Fichiers exposés | EXP-001 | Sans preuve de propriété | · | · |
| CRITIQUE | Dépôt Git exposé
| Fichiers exposés | EXP-002 | Sans preuve de propriété | · | · |
| CRITIQUE | Backup archive is downloadable A site or database backup ( | Fichiers exposés | EXP-003 | Sans preuve de propriété | · | · |
| CRITIQUE | terraform.tfstate is exposed A Terraform state file is downloadable. State stores your infrastructure layout and often plaintext secrets (DB passwords, access keys). | Fichiers exposés | EXP-025 | Sans preuve de propriété | · | · |
| CRITIQUE | SQL database dump is exposed A full SQL dump is downloadable. It can contain your entire database — users, password hashes and private data. | Fichiers exposés | EXP-026 | Sans preuve de propriété | · | · |
| CRITIQUE | Private SSH key is exposed A private SSH key is downloadable. Anyone with it may be able to log in to your servers. | Fichiers exposés | EXP-031 | Sans preuve de propriété | · | · |
| CRITIQUE | SPF include trỏ domain chưa đăng ký | MAIL-010 | Sans preuve de propriétéBientôt | · | · | |
| CRITIQUE | Google Web Risk (không Safe Browsing) | Reputation | REP-001 | Sans preuve de propriétéBientôt | · | · |
| CRITIQUE | Chèn script/SEO spam/deface | Reputation | REP-003 | Sans preuve de propriétéBientôt | · | · |
| CRITIQUE | Clés secrètes exposées dans le code côté client Des clés d'API privées ont été trouvées dans du JavaScript envoyé à chaque visiteur. N'importe qui peut les copier et utiliser vos comptes. | Secrets côté client | SEC-001 | Sans preuve de propriété | · | · |
| CRITIQUE | Clé Supabase service_role exposée La clé service_role contourne entièrement le Row Level Security. Toute personne qui la possède peut lire et modifier chaque table. | Secrets côté client | SEC-002 | Sans preuve de propriété | · | · |
| CRITIQUE | Private key EC/OpenSSH/DSA/PGP | Secret phía client | SEC-029 | Sans preuve de propriétéBientôt | · | · |
| CRITIQUE | CVE trong CISA KEV | Tech / CVE / KEV / EOL | TECH-003 | Sans preuve de propriétéBientôt | · | · |
| CRITIQUE | Next.js version → CVE-2025-29927/55182 | Tech / CVE / KEV / EOL | TECH-015 | Sans preuve de propriétéBientôt | · | · |
| CRITIQUE | Certificat TLS expiré ou bientôt expiré Lorsque le certificat expire, les navigateurs affichent un avertissement de sécurité plein écran et la plupart des visiteurs partent. | Transport & TLS | TLS-002 | Sans preuve de propriété | · | · |
| ÉLEVÉE | WP plugin/theme CVE (Wordfence feed) | CMS | CMS-016 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Joomla config/version (CVE-2023-23752 KEV) | CMS | CMS-018 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Magento version + EOL + config | CMS | CMS-022 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | CORS reflète n'importe quelle origine Votre serveur renvoie n'importe quelle Origin dans Access-Control-Allow-Origin. Si les identifiants sont autorisés, n'importe quel site web peut lire les données de vos utilisateurs. | En-têtes HTTP | COR-001 | Sans preuve de propriété | · | · |
| ÉLEVÉE | Subdomain takeover (can-i-take-over-xyz) | DNS | DNS-006 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Domain sắp hết hạn (RDAP) | DNS | DNS-007 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Zone transfer AXFR mở | DNS | DNS-009 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | DNSSEC hỏng/thuật toán yếu | DNS | DNS-015 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Subversion repository is exposed An | Fichiers exposés | EXP-010 | Sans preuve de propriété | · | · |
| ÉLEVÉE | .hg/ repo lộ | File & path bị lộ | EXP-011 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | docker-compose.yml is exposed Your | Fichiers exposés | EXP-013 | Sans preuve de propriété | · | · |
| ÉLEVÉE | appsettings.json is exposed A .NET | Fichiers exposés | EXP-015 | Sans preuve de propriété | · | · |
| ÉLEVÉE | .npmrc auth token is exposed An | Fichiers exposés | EXP-018 | Sans preuve de propriété | · | · |
| ÉLEVÉE | .htpasswd is exposed An | Fichiers exposés | EXP-030 | Sans preuve de propriété | · | · |
| ÉLEVÉE | .pypirc credential is exposed A | Fichiers exposés | EXP-032 | Sans preuve de propriété | · | · |
| ÉLEVÉE | __NEXT_DATA__/RSC lộ dữ liệu server (PII, token) | JS & framework | JS-011 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Next/Vite/Nuxt phiên bản có CVE | JS & framework | JS-018 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | DANE TLSA cho MX | MAIL-005 | Sans preuve de propriétéBientôt | · | · | |
| ÉLEVÉE | phpMyAdmin | Panel & dịch vụ bị lộ | PNL-001 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Adminer | Panel & dịch vụ bị lộ | PNL-002 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Spamhaus DBL/ZEN (cần DQS key) | Reputation | REP-002 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Script từ domain hết hạn | Reputation | REP-004 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | URLhaus / ThreatFox | Reputation | REP-005 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | OpenPhish feed | Reputation | REP-006 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | NEXT_PUBLIC_/VITE_ var nhạy cảm | Secret phía client | SEC-005 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Mapbox secret token sk. | Secret phía client | SEC-014 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | SendGrid API key | Secret phía client | SEC-016 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Twilio SID+key | Secret phía client | SEC-017 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Mailgun key | Secret phía client | SEC-018 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Shopify token (shpat_/shpca_…) | Secret phía client | SEC-019 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Google OAuth client secret GOCSPX- | Secret phía client | SEC-020 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Firebase FCM server key (legacy) | Secret phía client | SEC-021 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Doppler/Linear/Notion/Postman/npm/PyPI token | Secret phía client | SEC-023 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | DigitalOcean/Cloudflare/HashiCorp token | Secret phía client | SEC-024 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Airtable PAT | Secret phía client | SEC-025 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Square/PayPal/Razorpay/Paystack key | Secret phía client | SEC-026 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Basic-auth creds trong URL | Secret phía client | SEC-032 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | CDN bị chiếm (polyfill.io, bootcss…) | Supply chain | SUP-002 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Script trên bucket/host dangling | Supply chain | SUP-005 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | JS library có CVE (retire.js) | Tech / CVE / KEV / EOL | TECH-011 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | Vite dev server prod → CVE-2025-30208 | Tech / CVE / KEV / EOL | TECH-016 | Sans preuve de propriétéBientôt | · | · |
| ÉLEVÉE | HTTPS non imposé Le site n'est pas servi en HTTPS, ou le HTTP simple ne redirige pas vers HTTPS. Le trafic peut être lu ou modifié sur un Wi‑Fi public. | Transport & TLS | TLS-001 | Sans preuve de propriété | · | · |
| ÉLEVÉE | Certificat TLS non approuvé Les navigateurs rejettent le certificat (nom d'hôte incorrect, auto-signé ou chaîne incomplète) : les visiteurs voient donc un avertissement de sécurité. | Transport & TLS | TLS-003 | Sans preuve de propriété | · | · |
| ÉLEVÉE | Cert bị thu hồi (CRL) | Transport & TLS | TLS-007 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | JWT thiếu exp / exp quá dài / thiếu aud | Auth / session / JWT | AUTH-003 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Session cookie flag (test login) | Auth / session / JWT | AUTH-006 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Attributs de sécurité manquants sur les cookies Les cookies sans Secure, HttpOnly ou SameSite peuvent être volés via HTTP, lus par des scripts injectés ou envoyés avec des requêtes intersites. | En-têtes HTTP | CK-001 | Sans preuve de propriété | · | · |
| MOYENNE | Cookie/JWT đọc được (alg:none, PII, role trong claim) | Cookie | CK-006 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | WP REST user enumeration | CMS | CMS-012 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | WP xmlrpc listMethods | CMS | CMS-013 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Drupal version + EOL + user enum | CMS | CMS-020 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Shopify fingerprint + app secret leak | CMS | CMS-025 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Enregistrement SPF manquant Sans SPF, les serveurs de messagerie destinataires ne peuvent pas savoir quels serveurs ont le droit d'envoyer des e-mails pour votre domaine, ce qui facilite l'usurpation d'identité. | DNS & e-mail | DNS-001 | Sans preuve de propriété | · | · |
| MOYENNE | DMARC manquant ou non appliqué Sans politique DMARC appliquée, des attaquants peuvent envoyer des e-mails qui semblent provenir de votre domaine. | DNS & e-mail | DNS-002 | Sans preuve de propriété | · | · |
| MOYENNE | NS là open resolver | DNS | DNS-008 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | CA lạ cấp cert (crt.sh) | Domain / CT | DOM-002 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Subdomain nhạy cảm từ CT log (dev/staging/admin) | Domain / CT | DOM-003 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Directory listing | File & path bị lộ | EXP-006 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | web.config is exposed An ASP.NET | Fichiers exposés | EXP-014 | Sans preuve de propriété | · | · |
| MOYENNE | Content-Security-Policy manquant ou faible Sans CSP robuste, tout script injecté s'exécute avec un accès complet à votre page et aux sessions de vos utilisateurs. | En-têtes HTTP | HDR-001 | Sans preuve de propriété | · | · |
| MOYENNE | Protection contre le clickjacking manquante D'autres sites peuvent charger vos pages dans un cadre invisible et pousser les utilisateurs à cliquer sur des boutons à leur insu. | En-têtes HTTP | HDR-002 | Sans preuve de propriété | · | · |
| MOYENNE | CSP yếu (unsafe-eval, *, data: trong script-src) — logic CSP Evaluator | HTTP header | HDR-005 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Response cache được mà có Set-Cookie | Hành vi HTTP | HTTP-010 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | postMessage không kiểm Origin (static) | Injection / XSS / SSRF | INJ-010 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Nuxt __NUXT__ state leak | JS & framework | JS-012 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | SvelteKit/Remix loader data leak | JS & framework | JS-013 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Next Server Action ID disclosure | JS & framework | JS-016 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Route admin/debug hardcode trong router | JS & framework | JS-021 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | SPF quá rộng/invalid (+all, >10 lookup, ptr) | MAIL-001 | Sans preuve de propriétéBientôt | · | · | |
| MOYENNE | MX thiếu STARTTLS / cert xấu (cần egress :25) | MAIL-003 | Sans preuve de propriétéBientôt | · | · | |
| MOYENNE | MX dangling/misconfig | MAIL-007 | Sans preuve de propriétéBientôt | · | · | |
| MOYENNE | Domain không gửi mail thiếu -all + p=reject | MAIL-008 | Sans preuve de propriétéBientôt | · | · | |
| MOYENNE | DKIM key yếu (RSA ≤1024) / test mode | MAIL-011 | Sans preuve de propriétéBientôt | · | · | |
| MOYENNE | Tracker/cookie trước khi consent (EU) | Privacy | PRV-003 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | IP hosting có port/CVE lộ (Shodan InternetDB) | Reputation | REP-007 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | UA cloaking (SEO spam) | Reputation | REP-008 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Google API key AIza… | Secret phía client | SEC-010 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Algolia app+API key | Secret phía client | SEC-012 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | HuggingFace token hf_ | Secret phía client | SEC-022 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Slack webhook URL | Secret phía client | SEC-027 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | JS library có CVE (retire.js) — gộp với TECH-011 | Supply chain | SUP-003 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Script không pin version (@latest, raw github) | Supply chain | SUP-004 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Form login/payment post sang host lạ/HTTP | Supply chain | SUP-008 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Version có CVE (OSV/NVD/GHSA) | Tech / CVE / KEV / EOL | TECH-002 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Phần mềm EOL (endoflife.date) | Tech / CVE / KEV / EOL | TECH-004 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | WordPress core/plugin/theme CVE | Tech / CVE / KEV / EOL | TECH-005 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | TLS 1.0/1.1, cipher yếu | Transport & TLS | TLS-004 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | HSTS manquant ou trop court Sans Strict-Transport-Security, une visite peut être rétrogradée en HTTP par un attaquant situé sur le même réseau. | Transport & TLS | TLS-005 | Sans preuve de propriété | · | · |
| MOYENNE | Khoá/chữ ký yếu (RSA<2048, SHA-1) | Transport & TLS | TLS-008 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | DH params yếu (Logjam) | Transport & TLS | TLS-009 | Sans preuve de propriétéBientôt | · | · |
| MOYENNE | Chain thiếu intermediate (browser giấu, API vỡ) | Transport & TLS | TLS-012 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | API thiếu security header | API | API-008 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Thiếu header rate-limit | API | API-016 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Vi phạm prefix (__Secure- không Secure, SameSite=None không Secure) | Cookie | CK-003 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Cookie Domain quá rộng (.example.com) | Cookie | CK-004 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Session cookie sống quá lâu (>30 ngày) | Cookie | CK-005 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | S3 bucket tồn tại (AccessDenied) | Cloud storage | CLD-002 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Dấu hiệu SSRF metadata (169.254.169.254) | Cloud storage | CLD-010 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | WP wp-cron / uploads listing | CMS | CMS-014 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Ghost admin + version | CMS | CMS-024 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | WP readme.html core version | CMS | CMS-027 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | ACAO * trên API JSON /api/* | CORS | COR-004 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | DKIM selector phổ biến | DNS | DNS-003 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Aucun enregistrement CAA N'importe quelle autorité de certification peut émettre des certificats pour votre domaine. CAA limite l'émission aux autorités que vous utilisez réellement. | DNS & e-mail | DNS-004 | Sans preuve de propriété | · | · |
| FAIBLE | NS kém bền (số lượng, cùng /24, lame) | DNS | DNS-010 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | IP nội bộ trong DNS công khai | DNS | DNS-016 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Thiếu registrar transfer lock (RDAP) | Domain / CT | DOM-001 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | .DS_Store file is exposed A macOS | Fichiers exposés | EXP-004 | Sans preuve de propriété | · | · |
| FAIBLE | firebase.json / .firebaserc lộ | File & path bị lộ | EXP-019 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | vercel.json / netlify.toml lộ | File & path bị lộ | EXP-020 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | En-têtes de sécurité de base manquants X-Content-Type-Options et Referrer-Policy sont des réglages par défaut simples qui bloquent le MIME sniffing et empêchent les URL complètes de fuiter vers d'autres sites. | En-têtes HTTP | HDR-003 | Sans preuve de propriété | · | · |
| FAIBLE | Version du serveur ou du framework divulguée Les bannières de version aident les attaquants à faire correspondre votre pile technique à des vulnérabilités connues. | En-têtes HTTP | HDR-004 | Sans preuve de propriété | · | · |
| FAIBLE | Header lỗi thời/nguy hiểm (HPKP, X-XSS-Protection≠0) | HTTP header | HDR-009 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Referrer-Policy yếu (unsafe-url) | HTTP header | HDR-010 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Header trùng/xung đột/sai cú pháp | HTTP header | HDR-011 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Header lộ stack (X-AspNet-Version, X-Runtime, IP nội bộ) | HTTP header | HDR-012 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Trang auth thiếu Cache-Control: no-store | HTTP header | HDR-013 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Header không nhất quán giữa các path | HTTP header | HDR-014 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | sitemap lộ URL/host không công khai | Hành vi HTTP | HTTP-007 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Trang mặc định/placeholder (nginx welcome, parking) | Hành vi HTTP | HTTP-012 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | localhost/IP nội bộ/preview URL trong bundle | JS & framework | JS-020 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Comment lộ TODO/credential/host nội bộ | JS & framework | JS-022 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | _buildManifest.js lộ route ẩn | JS & framework | JS-027 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | DMARC yếu (pct<100, sp=none, no rua) | MAIL-002 | Sans preuve de propriétéBientôt | · | · | |
| FAIBLE | MTA-STS / TLS-RPT thiếu/hỏng | MAIL-004 | Sans preuve de propriétéBientôt | · | · | |
| FAIBLE | Không có link privacy policy | Privacy | PRV-004 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Session replay trên trang form (Hotjar/Clarity) | Privacy | PRV-006 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Source maps accessibles publiquement Votre code source d'origine peut être reconstitué à partir des fichiers | Secrets côté client | SEC-004 | Sans preuve de propriété | · | · |
| FAIBLE | URL nội bộ/staging trong JS | Secret phía client | SEC-006 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Sentry DSN | Secret phía client | SEC-015 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Chuỗi entropy cao gần keyword credential | Secret phía client | SEC-030 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Script/CSS bên thứ ba không SRI | Supply chain | SUP-001 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | SRI yếu (sha1/md5) / thiếu crossorigin | Supply chain | SUP-006 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Link social/GitHub có thể hijack | Supply chain | SUP-007 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Header version mở rộng (X-Runtime, X-Drupal-Cache) | Tech / CVE / KEV / EOL | TECH-013 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | <meta generator> lộ version | Tech / CVE / KEV / EOL | TECH-014 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Mixed content | Transport & TLS | TLS-006 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Không forward secrecy / không AEAD (TLS1.2) | Transport & TLS | TLS-011 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Thiếu SCT (CT policy) | Transport & TLS | TLS-013 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Redirect sang host khác trước khi set HSTS | Transport & TLS | TLS-015 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Liệt kê table qua PostgREST OpenAPI | BaaS (Supabase/Firebase) | BAAS-001 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Supabase project + anon key (nền) | BaaS (Supabase/Firebase) | BAAS-010 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Firebase config extract (nền) | BaaS (Supabase/Firebase) | BAAS-021 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Session cookie thiếu prefix __Host- | Cookie | CK-002 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | DNSSEC | DNS | DNS-005 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Wildcard DNS | DNS | DNS-014 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | CSP chỉ report-only hoặc chỉ trong meta tag | HTTP header | HDR-006 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | COOP thiếu | HTTP header | HDR-007 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | CORP/COEP không set | HTTP header | HDR-008 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | robots.txt lộ path nhạy cảm | Hành vi HTTP | HTTP-006 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Không hỗ trợ HTTP/2; HTTP/3 info | Hành vi HTTP | HTTP-008 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Dấu hiệu request smuggling (passive) | Hành vi HTTP | HTTP-009 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Liệt kê bundle + trích endpoint (jsluice) — nền cho nhiều check | JS & framework | JS-010 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Fingerprint framework + version | JS & framework | JS-017 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | BIMI record (info) | MAIL-006 | Sans preuve de propriétéBientôt | · | · | |
| FAIBLE | security.txt thiếu | Privacy | PRV-001 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | security.txt invalid | Privacy | PRV-002 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Google Fonts/3rd-party nhạy cảm EU | Privacy | PRV-005 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Nhận diện công nghệ + version (webappanalyzer) | Tech / CVE / KEV / EOL | TECH-001 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | EPSS enrichment (xếp hạng ưu tiên) | Tech / CVE / KEV / EOL | TECH-018 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | Không hỗ trợ TLS 1.3 | Transport & TLS | TLS-010 | Sans preuve de propriétéBientôt | · | · |
| FAIBLE | HSTS thiếu includeSubDomains/preload | Transport & TLS | TLS-014 | Sans preuve de propriétéBientôt | · | · |
| CRITIQUE | Next.js middleware bypass (gộp JS-014) | Access control / IDOR | AC-003 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | LLM proxy endpoint không auth (abuse) | AI / LLM | AI-002 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Key provider lộ qua error | AI / LLM | AI-006 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | MCP server lộ (tools/list, không gọi tool) | AI / LLM | AI-009 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | ChromaDB lộ (metadata) | AI / LLM | AI-012 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Stripe sk_live lộ / webhook không verify sig | API | API-015 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Tables Supabase lisibles sans connexion Avec la clé publique anon de votre site, nous avons pu lire des lignes dans ces tables. Le Row Level Security est désactivé ou une politique autorise la lecture publique. | Backend (Supabase / Firebase) | BAAS-002 | · | Réservé au propriétaire du site | · |
| CRITIQUE | Firebase Realtime Database lisible publiquement Les règles de votre base de données autorisent la lecture sans authentification : n'importe qui peut télécharger les données. | Backend (Supabase / Firebase) | BAAS-004 | · | Réservé au propriétaire du site | · |
| CRITIQUE | Supabase table ghi được bằng anon (CVE-2025-48757) | BaaS (Supabase/Firebase) | BAAS-011 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | auth.users lộ qua view/API | BaaS (Supabase/Firebase) | BAAS-012 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | RLS tắt hàng loạt (splinter 0013) | BaaS (Supabase/Firebase) | BAAS-013 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Firestore đọc không auth | BaaS (Supabase/Firebase) | BAAS-022 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Hasura query anon (role permissive) | BaaS (Supabase/Firebase) | BAAS-032 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Firebase RTDB world-readable (GET only) | Cloud storage | CLD-008 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | WP DB backup / repair.php | CMS | CMS-011 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | WP wp-config backup / setup reachable | CMS | CMS-015 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Backup config CMS (wp-config.php~, .bak) | File & path bị lộ | EXP-027 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Hasura/PostGraphile admin mở | GraphQL | GQL-006 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Next.js middleware bypass CVE-2025-29927 (header) | JS & framework | JS-014 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | RSC RCE CVE-2025-55182 (probe không thực thi) | JS & framework | JS-015 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Actuator /heapdump tải được | Panel & dịch vụ bị lộ | PNL-005 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Elasticsearch không auth | Panel & dịch vụ bị lộ | PNL-009 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Docker Engine API lộ | Panel & dịch vụ bị lộ | PNL-010 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Kubelet/K8s API read-only | Panel & dịch vụ bị lộ | PNL-012 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Supabase Studio lộ | Panel & dịch vụ bị lộ | PNL-021 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Jupyter Notebook không auth | Panel & dịch vụ bị lộ | PNL-025 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | Flask/Werkzeug debugger | Panel & dịch vụ bị lộ | PNL-030 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | AI route thiếu rate limit | AI / LLM | AI-003 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | System prompt leakage | AI / LLM | AI-004 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Client override model/max_tokens | AI / LLM | AI-008 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Ollama lộ (/api/tags) | AI / LLM | AI-010 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | LM Studio/Open WebUI/vLLM lộ | AI / LLM | AI-011 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Qdrant lộ | AI / LLM | AI-013 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Weaviate lộ | AI / LLM | AI-014 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Output LLM render thành HTML (XSS) | AI / LLM | AI-017 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Mass assignment / field thừa (role, password_hash) | API | API-005 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | CORS reflect + credentials (API) | API | API-006 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Endpoint secured trả data khi không auth | API | API-007 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Actuator/metrics/debug lộ (gộp PNL-004/06) | API | API-011 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | OAuth redirect_uri validation yếu | Auth / session / JWT | AUTH-009 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Credential mặc định trên panel (1 lần/panel) | Auth / session / JWT | AUTH-010 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Buckets de stockage Supabase listables Toute personne disposant de votre clé publique peut lister les fichiers de ces buckets, ce qui expose souvent les fichiers envoyés par les utilisateurs. | Backend (Supabase / Firebase) | BAAS-003 | · | Réservé au propriétaire du site | · |
| ÉLEVÉE | Bucket Firebase Storage listable publiquement Vos règles Storage autorisent le listage des fichiers sans authentification. | Backend (Supabase / Firebase) | BAAS-005 | · | Réservé au propriétaire du site | · |
| ÉLEVÉE | Security-definer view bypass RLS | BaaS (Supabase/Firebase) | BAAS-014 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | RPC function anon gọi được | BaaS (Supabase/Firebase) | BAAS-015 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Appwrite collection public | BaaS (Supabase/Firebase) | BAAS-027 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | PocketBase collection public list | BaaS (Supabase/Firebase) | BAAS-028 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Hasura introspection bật | BaaS (Supabase/Firebase) | BAAS-031 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Directus collection public | BaaS (Supabase/Firebase) | BAAS-033 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Strapi public API over-exposed | BaaS (Supabase/Firebase) | BAAS-034 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | S3 bucket public listing | Cloud storage | CLD-001 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | GCS bucket public listing | Cloud storage | CLD-003 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Azure Blob container public | Cloud storage | CLD-004 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | DigitalOcean Spaces public | Cloud storage | CLD-005 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Firebase Storage/Firestore open (GET only) | Cloud storage | CLD-009 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Subdomain takeover (dangling CNAME) | Cloud storage | CLD-011 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | WP debug.log lộ | CMS | CMS-010 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Drupal install.php reachable | CMS | CMS-021 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Installer CMS còn mở (wp/joomla/drupal) | CMS | CMS-026 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Origin: null được tin + credentials | CORS | COR-002 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Validate Origin theo prefix/suffix (bypass) | CORS | COR-003 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Trang debug (Django/Laravel/Next) | File & path bị lộ | EXP-007 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Core dump lộ | File & path bị lộ | EXP-033 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Không giới hạn depth/complexity | GraphQL | GQL-005 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Mutation reachable không auth (báo hiện diện) | GraphQL | GQL-007 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Reflected XSS (canary, không thực thi) | Injection / XSS / SSRF | INJ-001 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | SQLi indicator (error-based, 1 dấu nháy) | Injection / XSS / SSRF | INJ-004 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | NoSQL injection indicator ($ne) | Injection / XSS / SSRF | INJ-005 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Path traversal indicator (1 probe) | Injection / XSS / SSRF | INJ-007 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | SSTI indicator ({{7*7}}→49) | Injection / XSS / SSRF | INJ-008 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Open relay (cần egress :25) | MAIL-009 | · | Réservé au propriétaire du siteBientôt | · | |
| ÉLEVÉE | Spring Boot Actuator (/env, /mappings) | Panel & dịch vụ bị lộ | PNL-004 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Kubernetes Dashboard | Panel & dịch vụ bị lộ | PNL-011 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Jenkins | Panel & dịch vụ bị lộ | PNL-013 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | MinIO console | Panel & dịch vụ bị lộ | PNL-017 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Redis Commander | Panel & dịch vụ bị lộ | PNL-018 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Apache Solr admin | Panel & dịch vụ bị lộ | PNL-019 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Apache Airflow | Panel & dịch vụ bị lộ | PNL-020 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Laravel Telescope | Panel & dịch vụ bị lộ | PNL-027 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Google Maps key không giới hạn | Secret phía client | SEC-011 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Algolia key có ACL ghi/admin | Secret phía client | SEC-013 | · | Réservé au propriétaire du siteBientôt | · |
| ÉLEVÉE | Heartbleed/ROBOT/insecure renegotiation | Transport & TLS | TLS-017 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | ID tuần tự/đoán được (dấu hiệu IDOR) | Access control / IDOR | AC-008 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Rate limit login/AI endpoint | Quét chủ động | ACT-005 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | API version cũ/không tài liệu reachable | API | API-002 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Lỗi verbose (stack/DB driver) | API | API-003 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Method tampering / unsafe methods | API | API-004 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Lạm dụng pagination/limit | API | API-009 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Enumeration qua login/reset | Auth / session / JWT | AUTH-004 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | pg_graphql introspection mở cho anon | BaaS (Supabase/Firebase) | BAAS-016 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Realtime anon subscribe được | BaaS (Supabase/Firebase) | BAAS-017 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Edge Function không auth | BaaS (Supabase/Firebase) | BAAS-018 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Supabase signup mở (spraying) | BaaS (Supabase/Firebase) | BAAS-020 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Firebase anonymous auth bật | BaaS (Supabase/Firebase) | BAAS-024 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Firebase Remote Config đọc được | BaaS (Supabase/Firebase) | BAAS-026 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Convex function public | BaaS (Supabase/Firebase) | BAAS-030 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Cloudflare R2 public bucket | Cloud storage | CLD-006 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Swagger/OpenAPI, GraphQL introspection | File & path bị lộ | EXP-005 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Sourcemap .map lộ (full source) | File & path bị lộ | EXP-023 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Introspection bật ở prod | GraphQL | GQL-002 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Field suggestion ("did you mean") | GraphQL | GQL-003 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Batching/aliasing cho phép | GraphQL | GQL-004 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | GraphQL CSRF (GET/form mutation) | GraphQL | GQL-009 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Method nguy hiểm (PUT/DELETE/PROPFIND) | Hành vi HTTP | HTTP-002 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Host header injection | Hành vi HTTP | HTTP-003 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Open redirect qua ?next/url/redirect/returnTo | Hành vi HTTP | HTTP-004 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Lỗi/stack trace lộ (malformed request) | Hành vi HTTP | HTTP-005 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Web cache deception | Hành vi HTTP | HTTP-011 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Open redirect (canary host) | Injection / XSS / SSRF | INJ-002 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Header/host injection | Injection / XSS / SSRF | INJ-006 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Vite dev server shipped to prod (/@vite/client, /@fs/) | JS & framework | JS-025 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Prometheus /metrics | Panel & dịch vụ bị lộ | PNL-006 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Grafana (anon/default) | Panel & dịch vụ bị lộ | PNL-007 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Kibana | Panel & dịch vụ bị lộ | PNL-008 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Portainer | Panel & dịch vụ bị lộ | PNL-014 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Traefik dashboard/API | Panel & dịch vụ bị lộ | PNL-015 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | RabbitMQ management | Panel & dịch vụ bị lộ | PNL-016 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Go pprof/expvar | Panel & dịch vụ bị lộ | PNL-031 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Xác minh key còn sống (whoami an toàn) | Secret phía client | SEC-007 | · | Réservé au propriétaire du siteBientôt | · |
| MOYENNE | Dep từ package.json/composer.json → OSV | Tech / CVE / KEV / EOL | TECH-019 | · | Réservé au propriétaire du siteBientôt | · |
| FAIBLE | Joomla admin + registration mở | CMS | CMS-019 | · | Réservé au propriétaire du siteBientôt | · |
| FAIBLE | Preflight quá dễ dãi (ACAM PUT/DELETE) | CORS | COR-005 | · | Réservé au propriétaire du siteBientôt | · |
| FAIBLE | next/nuxt/vite config lộ | File & path bị lộ | EXP-022 | · | Réservé au propriétaire du siteBientôt | · |
| FAIBLE | TRACE/TRACK bật | Hành vi HTTP | HTTP-001 | · | Réservé au propriétaire du siteBientôt | · |
| FAIBLE | Phát hiện OpenAPI/Swagger + inventory | API | API-001 | · | Réservé au propriétaire du siteBientôt | · |
| FAIBLE | Phát hiện endpoint GraphQL | GraphQL | GQL-001 | · | Réservé au propriétaire du siteBientôt | · |
| FAIBLE | Thiếu Clear-Site-Data khi logout | HTTP header | HDR-015 | · | Réservé au propriétaire du siteBientôt | · |
| CRITIQUE | BOLA/IDOR (2 tài khoản test) | Access control / IDOR | AC-001 | · | · | PayantBientôt |
| CRITIQUE | Role escalation qua mass assignment (no-op) | Access control / IDOR | AC-009 | · | · | PayantBientôt |
| CRITIQUE | JWT alg:none / alg-confusion (token của chủ site) | Auth / session / JWT | AUTH-001 | · | · | PayantBientôt |
| CRITIQUE | SSRF qua url/webhook param (OOB) | Injection / XSS / SSRF | INJ-003 | · | · | PayantBientôt |
| ÉLEVÉE | Broken function-level auth (user → admin route) | Access control / IDOR | AC-002 | · | · | PayantBientôt |
| ÉLEVÉE | Quét có đăng nhập + IDOR | Quét chủ động | ACT-004 | · | · | PayantBientôt |
| ÉLEVÉE | Excessive agency (read-only probe) | AI / LLM | AI-016 | · | · | PayantBientôt |
| ÉLEVÉE | JWT HS256 secret yếu (offline) | Auth / session / JWT | AUTH-002 | · | · | PayantBientôt |
| ÉLEVÉE | Reset token yếu (dự đoán/trong response) | Auth / session / JWT | AUTH-005 | · | · | PayantBientôt |
| ÉLEVÉE | Flow nhạy cảm thiếu anti-automation | Business logic | BIZ-001 | · | · | PayantBientôt |
| ÉLEVÉE | Coupon/price/quantity tampering (no-op) | Business logic | BIZ-002 | · | · | PayantBientôt |
| ÉLEVÉE | Bypass plan/feature-gate | Business logic | BIZ-003 | · | · | PayantBientôt |
| ÉLEVÉE | Race condition redeem (2 request) | Business logic | BIZ-004 | · | · | PayantBientôt |
| ÉLEVÉE | AI agent dò logic nghiệp vụ | Business logic | BIZ-006 | · | · | PayantBientôt |
| ÉLEVÉE | A record trỏ IP cloud có thể mất quyền | Domain / CT | DOM-005 | · | · | PayantBientôt |
| MOYENNE | Session không huỷ khi logout | Auth / session / JWT | AUTH-007 | · | · | PayantBientôt |
| MOYENNE | Domain lookalike/typosquat (dnstwist) | Domain / CT | DOM-004 | · | · | PayantBientôt |
| MOYENNE | Origin truy cập trực tiếp, bypass CDN/WAF | Hành vi HTTP | HTTP-013 | · | · | PayantBientôt |