Tutti i controlli che eseguiamo, divisi in base a ciò che richiedono. I controlli senza essere proprietario vengono eseguiti a ogni scansione, per qualsiasi sito pubblico. I controlli del proprietario inviano richieste di prova, quindi vengono eseguiti solo dopo aver verificato il dominio. I controlli a pagamento sono quelli avanzati che stiamo sviluppando.
324 controlli in 33 moduli
| GRAVITÀ | CONTROLLO | MODULO | ID | Senza essere proprietario(179) | Solo per il proprietario del sito(127) | A pagamento(18) |
|---|---|---|---|---|---|---|
| CRITICO | LLM API key trong bundle (sk-/sk-ant-) | AI / LLM | AI-007 | Senza essere proprietarioIn arrivo | · | · |
| CRITICO | Domain của NS chưa đăng ký (takeover) | DNS | DNS-011 | Senza essere proprietarioIn arrivo | · | · |
| CRITICO | File d'ambiente (.env) leggibile pubblicamente Chiunque può scaricare queste variabili, di solito URL di database e chiavi API. I bot cercano di continuo | File esposti | EXP-001 | Senza essere proprietario | · | · |
| CRITICO | Repository Git esposto
| File esposti | EXP-002 | Senza essere proprietario | · | · |
| CRITICO | Backup archive is downloadable A site or database backup ( | File esposti | EXP-003 | Senza essere proprietario | · | · |
| CRITICO | terraform.tfstate is exposed A Terraform state file is downloadable. State stores your infrastructure layout and often plaintext secrets (DB passwords, access keys). | File esposti | EXP-025 | Senza essere proprietario | · | · |
| CRITICO | SQL database dump is exposed A full SQL dump is downloadable. It can contain your entire database — users, password hashes and private data. | File esposti | EXP-026 | Senza essere proprietario | · | · |
| CRITICO | Private SSH key is exposed A private SSH key is downloadable. Anyone with it may be able to log in to your servers. | File esposti | EXP-031 | Senza essere proprietario | · | · |
| CRITICO | SPF include trỏ domain chưa đăng ký | MAIL-010 | Senza essere proprietarioIn arrivo | · | · | |
| CRITICO | Google Web Risk (không Safe Browsing) | Reputation | REP-001 | Senza essere proprietarioIn arrivo | · | · |
| CRITICO | Chèn script/SEO spam/deface | Reputation | REP-003 | Senza essere proprietarioIn arrivo | · | · |
| CRITICO | Chiavi segrete esposte nel codice lato client Sono state trovate chiavi API private in JavaScript inviato a ogni visitatore. Chiunque può copiarle e usare i tuoi account. | Segreti lato client | SEC-001 | Senza essere proprietario | · | · |
| CRITICO | Chiave Supabase service_role esposta La chiave service_role aggira completamente la Row Level Security. Chiunque la possieda può leggere e modificare ogni tabella. | Segreti lato client | SEC-002 | Senza essere proprietario | · | · |
| CRITICO | Private key EC/OpenSSH/DSA/PGP | Secret phía client | SEC-029 | Senza essere proprietarioIn arrivo | · | · |
| CRITICO | CVE trong CISA KEV | Tech / CVE / KEV / EOL | TECH-003 | Senza essere proprietarioIn arrivo | · | · |
| CRITICO | Next.js version → CVE-2025-29927/55182 | Tech / CVE / KEV / EOL | TECH-015 | Senza essere proprietarioIn arrivo | · | · |
| CRITICO | Certificato TLS scaduto o in scadenza Quando il certificato scade, i browser mostrano un avviso di sicurezza a pagina intera e la maggior parte dei visitatori se ne va. | Trasporto & TLS | TLS-002 | Senza essere proprietario | · | · |
| ALTO | WP plugin/theme CVE (Wordfence feed) | CMS | CMS-016 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Joomla config/version (CVE-2023-23752 KEV) | CMS | CMS-018 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Magento version + EOL + config | CMS | CMS-022 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | CORS riflette qualsiasi origine Il tuo server restituisce qualsiasi Origin in Access-Control-Allow-Origin. Con le credenziali consentite, qualsiasi sito web può leggere i dati dei tuoi utenti. | Header HTTP | COR-001 | Senza essere proprietario | · | · |
| ALTO | Subdomain takeover (can-i-take-over-xyz) | DNS | DNS-006 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Domain sắp hết hạn (RDAP) | DNS | DNS-007 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Zone transfer AXFR mở | DNS | DNS-009 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | DNSSEC hỏng/thuật toán yếu | DNS | DNS-015 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Subversion repository is exposed An | File esposti | EXP-010 | Senza essere proprietario | · | · |
| ALTO | .hg/ repo lộ | File & path bị lộ | EXP-011 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | docker-compose.yml is exposed Your | File esposti | EXP-013 | Senza essere proprietario | · | · |
| ALTO | appsettings.json is exposed A .NET | File esposti | EXP-015 | Senza essere proprietario | · | · |
| ALTO | .npmrc auth token is exposed An | File esposti | EXP-018 | Senza essere proprietario | · | · |
| ALTO | .htpasswd is exposed An | File esposti | EXP-030 | Senza essere proprietario | · | · |
| ALTO | .pypirc credential is exposed A | File esposti | EXP-032 | Senza essere proprietario | · | · |
| ALTO | __NEXT_DATA__/RSC lộ dữ liệu server (PII, token) | JS & framework | JS-011 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Next/Vite/Nuxt phiên bản có CVE | JS & framework | JS-018 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | DANE TLSA cho MX | MAIL-005 | Senza essere proprietarioIn arrivo | · | · | |
| ALTO | phpMyAdmin | Panel & dịch vụ bị lộ | PNL-001 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Adminer | Panel & dịch vụ bị lộ | PNL-002 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Spamhaus DBL/ZEN (cần DQS key) | Reputation | REP-002 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Script từ domain hết hạn | Reputation | REP-004 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | URLhaus / ThreatFox | Reputation | REP-005 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | OpenPhish feed | Reputation | REP-006 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | NEXT_PUBLIC_/VITE_ var nhạy cảm | Secret phía client | SEC-005 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Mapbox secret token sk. | Secret phía client | SEC-014 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | SendGrid API key | Secret phía client | SEC-016 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Twilio SID+key | Secret phía client | SEC-017 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Mailgun key | Secret phía client | SEC-018 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Shopify token (shpat_/shpca_…) | Secret phía client | SEC-019 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Google OAuth client secret GOCSPX- | Secret phía client | SEC-020 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Firebase FCM server key (legacy) | Secret phía client | SEC-021 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Doppler/Linear/Notion/Postman/npm/PyPI token | Secret phía client | SEC-023 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | DigitalOcean/Cloudflare/HashiCorp token | Secret phía client | SEC-024 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Airtable PAT | Secret phía client | SEC-025 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Square/PayPal/Razorpay/Paystack key | Secret phía client | SEC-026 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Basic-auth creds trong URL | Secret phía client | SEC-032 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | CDN bị chiếm (polyfill.io, bootcss…) | Supply chain | SUP-002 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Script trên bucket/host dangling | Supply chain | SUP-005 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | JS library có CVE (retire.js) | Tech / CVE / KEV / EOL | TECH-011 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | Vite dev server prod → CVE-2025-30208 | Tech / CVE / KEV / EOL | TECH-016 | Senza essere proprietarioIn arrivo | · | · |
| ALTO | HTTPS non forzato Il sito non è servito via HTTPS, oppure l'HTTP semplice non reindirizza a HTTPS. Il traffico può essere letto o modificato su un Wi‑Fi pubblico. | Trasporto & TLS | TLS-001 | Senza essere proprietario | · | · |
| ALTO | Il certificato TLS non è attendibile I browser rifiutano il certificato (hostname errato, autofirmato o catena incompleta), quindi i visitatori vedono un avviso di sicurezza. | Trasporto & TLS | TLS-003 | Senza essere proprietario | · | · |
| ALTO | Cert bị thu hồi (CRL) | Transport & TLS | TLS-007 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | JWT thiếu exp / exp quá dài / thiếu aud | Auth / session / JWT | AUTH-003 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Session cookie flag (test login) | Auth / session / JWT | AUTH-006 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Cookie senza flag di sicurezza I cookie senza Secure, HttpOnly o SameSite possono essere rubati via HTTP, letti da script iniettati o inviati con richieste cross-site. | Header HTTP | CK-001 | Senza essere proprietario | · | · |
| MEDIO | Cookie/JWT đọc được (alg:none, PII, role trong claim) | Cookie | CK-006 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | WP REST user enumeration | CMS | CMS-012 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | WP xmlrpc listMethods | CMS | CMS-013 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Drupal version + EOL + user enum | CMS | CMS-020 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Shopify fingerprint + app secret leak | CMS | CMS-025 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Record SPF mancante Senza SPF, i server di posta riceventi non possono sapere quali server sono autorizzati a inviare email per il tuo dominio, il che facilita lo spoofing. | DNS & email | DNS-001 | Senza essere proprietario | · | · |
| MEDIO | DMARC mancante o non applicato Senza una policy DMARC attiva, gli attaccanti possono inviare email che sembrano provenire dal tuo dominio. | DNS & email | DNS-002 | Senza essere proprietario | · | · |
| MEDIO | NS là open resolver | DNS | DNS-008 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | CA lạ cấp cert (crt.sh) | Domain / CT | DOM-002 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Subdomain nhạy cảm từ CT log (dev/staging/admin) | Domain / CT | DOM-003 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Directory listing | File & path bị lộ | EXP-006 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | web.config is exposed An ASP.NET | File esposti | EXP-014 | Senza essere proprietario | · | · |
| MEDIO | Content-Security-Policy mancante o debole Senza una CSP efficace, qualsiasi script iniettato viene eseguito con pieno accesso alla tua pagina e alle sessioni dei tuoi utenti. | Header HTTP | HDR-001 | Senza essere proprietario | · | · |
| MEDIO | Protezione dal clickjacking mancante Altri siti possono caricare le tue pagine in un frame nascosto e indurre gli utenti a cliccare sui pulsanti. | Header HTTP | HDR-002 | Senza essere proprietario | · | · |
| MEDIO | CSP yếu (unsafe-eval, *, data: trong script-src) — logic CSP Evaluator | HTTP header | HDR-005 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Response cache được mà có Set-Cookie | Hành vi HTTP | HTTP-010 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | postMessage không kiểm Origin (static) | Injection / XSS / SSRF | INJ-010 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Nuxt __NUXT__ state leak | JS & framework | JS-012 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | SvelteKit/Remix loader data leak | JS & framework | JS-013 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Next Server Action ID disclosure | JS & framework | JS-016 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Route admin/debug hardcode trong router | JS & framework | JS-021 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | SPF quá rộng/invalid (+all, >10 lookup, ptr) | MAIL-001 | Senza essere proprietarioIn arrivo | · | · | |
| MEDIO | MX thiếu STARTTLS / cert xấu (cần egress :25) | MAIL-003 | Senza essere proprietarioIn arrivo | · | · | |
| MEDIO | MX dangling/misconfig | MAIL-007 | Senza essere proprietarioIn arrivo | · | · | |
| MEDIO | Domain không gửi mail thiếu -all + p=reject | MAIL-008 | Senza essere proprietarioIn arrivo | · | · | |
| MEDIO | DKIM key yếu (RSA ≤1024) / test mode | MAIL-011 | Senza essere proprietarioIn arrivo | · | · | |
| MEDIO | Tracker/cookie trước khi consent (EU) | Privacy | PRV-003 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | IP hosting có port/CVE lộ (Shodan InternetDB) | Reputation | REP-007 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | UA cloaking (SEO spam) | Reputation | REP-008 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Google API key AIza… | Secret phía client | SEC-010 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Algolia app+API key | Secret phía client | SEC-012 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | HuggingFace token hf_ | Secret phía client | SEC-022 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Slack webhook URL | Secret phía client | SEC-027 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | JS library có CVE (retire.js) — gộp với TECH-011 | Supply chain | SUP-003 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Script không pin version (@latest, raw github) | Supply chain | SUP-004 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Form login/payment post sang host lạ/HTTP | Supply chain | SUP-008 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Version có CVE (OSV/NVD/GHSA) | Tech / CVE / KEV / EOL | TECH-002 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Phần mềm EOL (endoflife.date) | Tech / CVE / KEV / EOL | TECH-004 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | WordPress core/plugin/theme CVE | Tech / CVE / KEV / EOL | TECH-005 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | TLS 1.0/1.1, cipher yếu | Transport & TLS | TLS-004 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | HSTS mancante o troppo breve Senza Strict-Transport-Security, un attaccante sulla stessa rete può forzare una visita su HTTP. | Trasporto & TLS | TLS-005 | Senza essere proprietario | · | · |
| MEDIO | Khoá/chữ ký yếu (RSA<2048, SHA-1) | Transport & TLS | TLS-008 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | DH params yếu (Logjam) | Transport & TLS | TLS-009 | Senza essere proprietarioIn arrivo | · | · |
| MEDIO | Chain thiếu intermediate (browser giấu, API vỡ) | Transport & TLS | TLS-012 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | API thiếu security header | API | API-008 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Thiếu header rate-limit | API | API-016 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Vi phạm prefix (__Secure- không Secure, SameSite=None không Secure) | Cookie | CK-003 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Cookie Domain quá rộng (.example.com) | Cookie | CK-004 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Session cookie sống quá lâu (>30 ngày) | Cookie | CK-005 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | S3 bucket tồn tại (AccessDenied) | Cloud storage | CLD-002 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Dấu hiệu SSRF metadata (169.254.169.254) | Cloud storage | CLD-010 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | WP wp-cron / uploads listing | CMS | CMS-014 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Ghost admin + version | CMS | CMS-024 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | WP readme.html core version | CMS | CMS-027 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | ACAO * trên API JSON /api/* | CORS | COR-004 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | DKIM selector phổ biến | DNS | DNS-003 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Nessun record CAA Qualsiasi autorità di certificazione può emettere certificati per il tuo dominio. CAA limita l'emissione alle CA che usi davvero. | DNS & email | DNS-004 | Senza essere proprietario | · | · |
| BASSO | NS kém bền (số lượng, cùng /24, lame) | DNS | DNS-010 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | IP nội bộ trong DNS công khai | DNS | DNS-016 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Thiếu registrar transfer lock (RDAP) | Domain / CT | DOM-001 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | .DS_Store file is exposed A macOS | File esposti | EXP-004 | Senza essere proprietario | · | · |
| BASSO | firebase.json / .firebaserc lộ | File & path bị lộ | EXP-019 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | vercel.json / netlify.toml lộ | File & path bị lộ | EXP-020 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Header di sicurezza di base mancanti X-Content-Type-Options e Referrer-Policy sono impostazioni predefinite a costo zero che bloccano il MIME sniffing e impediscono la fuga di URL completi verso altri siti. | Header HTTP | HDR-003 | Senza essere proprietario | · | · |
| BASSO | Versione di server o framework divulgata I banner con la versione aiutano gli attaccanti ad abbinare il tuo stack a vulnerabilità note. | Header HTTP | HDR-004 | Senza essere proprietario | · | · |
| BASSO | Header lỗi thời/nguy hiểm (HPKP, X-XSS-Protection≠0) | HTTP header | HDR-009 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Referrer-Policy yếu (unsafe-url) | HTTP header | HDR-010 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Header trùng/xung đột/sai cú pháp | HTTP header | HDR-011 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Header lộ stack (X-AspNet-Version, X-Runtime, IP nội bộ) | HTTP header | HDR-012 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Trang auth thiếu Cache-Control: no-store | HTTP header | HDR-013 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Header không nhất quán giữa các path | HTTP header | HDR-014 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | sitemap lộ URL/host không công khai | Hành vi HTTP | HTTP-007 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Trang mặc định/placeholder (nginx welcome, parking) | Hành vi HTTP | HTTP-012 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | localhost/IP nội bộ/preview URL trong bundle | JS & framework | JS-020 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Comment lộ TODO/credential/host nội bộ | JS & framework | JS-022 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | _buildManifest.js lộ route ẩn | JS & framework | JS-027 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | DMARC yếu (pct<100, sp=none, no rua) | MAIL-002 | Senza essere proprietarioIn arrivo | · | · | |
| BASSO | MTA-STS / TLS-RPT thiếu/hỏng | MAIL-004 | Senza essere proprietarioIn arrivo | · | · | |
| BASSO | Không có link privacy policy | Privacy | PRV-004 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Session replay trên trang form (Hotjar/Clarity) | Privacy | PRV-006 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Source map accessibili pubblicamente Il tuo codice sorgente originale può essere ricostruito dai file | Segreti lato client | SEC-004 | Senza essere proprietario | · | · |
| BASSO | URL nội bộ/staging trong JS | Secret phía client | SEC-006 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Sentry DSN | Secret phía client | SEC-015 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Chuỗi entropy cao gần keyword credential | Secret phía client | SEC-030 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Script/CSS bên thứ ba không SRI | Supply chain | SUP-001 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | SRI yếu (sha1/md5) / thiếu crossorigin | Supply chain | SUP-006 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Link social/GitHub có thể hijack | Supply chain | SUP-007 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Header version mở rộng (X-Runtime, X-Drupal-Cache) | Tech / CVE / KEV / EOL | TECH-013 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | <meta generator> lộ version | Tech / CVE / KEV / EOL | TECH-014 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Mixed content | Transport & TLS | TLS-006 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Không forward secrecy / không AEAD (TLS1.2) | Transport & TLS | TLS-011 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Thiếu SCT (CT policy) | Transport & TLS | TLS-013 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Redirect sang host khác trước khi set HSTS | Transport & TLS | TLS-015 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Liệt kê table qua PostgREST OpenAPI | BaaS (Supabase/Firebase) | BAAS-001 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Supabase project + anon key (nền) | BaaS (Supabase/Firebase) | BAAS-010 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Firebase config extract (nền) | BaaS (Supabase/Firebase) | BAAS-021 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Session cookie thiếu prefix __Host- | Cookie | CK-002 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | DNSSEC | DNS | DNS-005 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Wildcard DNS | DNS | DNS-014 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | CSP chỉ report-only hoặc chỉ trong meta tag | HTTP header | HDR-006 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | COOP thiếu | HTTP header | HDR-007 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | CORP/COEP không set | HTTP header | HDR-008 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | robots.txt lộ path nhạy cảm | Hành vi HTTP | HTTP-006 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Không hỗ trợ HTTP/2; HTTP/3 info | Hành vi HTTP | HTTP-008 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Dấu hiệu request smuggling (passive) | Hành vi HTTP | HTTP-009 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Liệt kê bundle + trích endpoint (jsluice) — nền cho nhiều check | JS & framework | JS-010 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Fingerprint framework + version | JS & framework | JS-017 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | BIMI record (info) | MAIL-006 | Senza essere proprietarioIn arrivo | · | · | |
| BASSO | security.txt thiếu | Privacy | PRV-001 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | security.txt invalid | Privacy | PRV-002 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Google Fonts/3rd-party nhạy cảm EU | Privacy | PRV-005 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Nhận diện công nghệ + version (webappanalyzer) | Tech / CVE / KEV / EOL | TECH-001 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | EPSS enrichment (xếp hạng ưu tiên) | Tech / CVE / KEV / EOL | TECH-018 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | Không hỗ trợ TLS 1.3 | Transport & TLS | TLS-010 | Senza essere proprietarioIn arrivo | · | · |
| BASSO | HSTS thiếu includeSubDomains/preload | Transport & TLS | TLS-014 | Senza essere proprietarioIn arrivo | · | · |
| CRITICO | Next.js middleware bypass (gộp JS-014) | Access control / IDOR | AC-003 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | LLM proxy endpoint không auth (abuse) | AI / LLM | AI-002 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Key provider lộ qua error | AI / LLM | AI-006 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | MCP server lộ (tools/list, không gọi tool) | AI / LLM | AI-009 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | ChromaDB lộ (metadata) | AI / LLM | AI-012 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Stripe sk_live lộ / webhook không verify sig | API | API-015 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Tabelle Supabase leggibili senza login Usando la chiave anon pubblica presente nel tuo sito, siamo riusciti a leggere righe da queste tabelle. La Row Level Security è disattivata oppure una policy consente la lettura pubblica. | Backend (Supabase / Firebase) | BAAS-002 | · | Solo per il proprietario del sito | · |
| CRITICO | Firebase Realtime Database leggibile pubblicamente Le regole del tuo database consentono la lettura senza autenticazione, quindi chiunque può scaricare i dati. | Backend (Supabase / Firebase) | BAAS-004 | · | Solo per il proprietario del sito | · |
| CRITICO | Supabase table ghi được bằng anon (CVE-2025-48757) | BaaS (Supabase/Firebase) | BAAS-011 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | auth.users lộ qua view/API | BaaS (Supabase/Firebase) | BAAS-012 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | RLS tắt hàng loạt (splinter 0013) | BaaS (Supabase/Firebase) | BAAS-013 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Firestore đọc không auth | BaaS (Supabase/Firebase) | BAAS-022 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Hasura query anon (role permissive) | BaaS (Supabase/Firebase) | BAAS-032 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Firebase RTDB world-readable (GET only) | Cloud storage | CLD-008 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | WP DB backup / repair.php | CMS | CMS-011 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | WP wp-config backup / setup reachable | CMS | CMS-015 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Backup config CMS (wp-config.php~, .bak) | File & path bị lộ | EXP-027 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Hasura/PostGraphile admin mở | GraphQL | GQL-006 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Next.js middleware bypass CVE-2025-29927 (header) | JS & framework | JS-014 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | RSC RCE CVE-2025-55182 (probe không thực thi) | JS & framework | JS-015 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Actuator /heapdump tải được | Panel & dịch vụ bị lộ | PNL-005 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Elasticsearch không auth | Panel & dịch vụ bị lộ | PNL-009 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Docker Engine API lộ | Panel & dịch vụ bị lộ | PNL-010 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Kubelet/K8s API read-only | Panel & dịch vụ bị lộ | PNL-012 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Supabase Studio lộ | Panel & dịch vụ bị lộ | PNL-021 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Jupyter Notebook không auth | Panel & dịch vụ bị lộ | PNL-025 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | Flask/Werkzeug debugger | Panel & dịch vụ bị lộ | PNL-030 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | AI route thiếu rate limit | AI / LLM | AI-003 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | System prompt leakage | AI / LLM | AI-004 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Client override model/max_tokens | AI / LLM | AI-008 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Ollama lộ (/api/tags) | AI / LLM | AI-010 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | LM Studio/Open WebUI/vLLM lộ | AI / LLM | AI-011 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Qdrant lộ | AI / LLM | AI-013 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Weaviate lộ | AI / LLM | AI-014 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Output LLM render thành HTML (XSS) | AI / LLM | AI-017 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Mass assignment / field thừa (role, password_hash) | API | API-005 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | CORS reflect + credentials (API) | API | API-006 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Endpoint secured trả data khi không auth | API | API-007 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Actuator/metrics/debug lộ (gộp PNL-004/06) | API | API-011 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | OAuth redirect_uri validation yếu | Auth / session / JWT | AUTH-009 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Credential mặc định trên panel (1 lần/panel) | Auth / session / JWT | AUTH-010 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | I bucket di storage Supabase sono elencabili Chiunque abbia la tua chiave pubblica può elencare i file in questi bucket, il che spesso espone i caricamenti degli utenti. | Backend (Supabase / Firebase) | BAAS-003 | · | Solo per il proprietario del sito | · |
| ALTO | Bucket Firebase Storage elencabile pubblicamente Le regole di Storage consentono di elencare i file senza autenticazione. | Backend (Supabase / Firebase) | BAAS-005 | · | Solo per il proprietario del sito | · |
| ALTO | Security-definer view bypass RLS | BaaS (Supabase/Firebase) | BAAS-014 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | RPC function anon gọi được | BaaS (Supabase/Firebase) | BAAS-015 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Appwrite collection public | BaaS (Supabase/Firebase) | BAAS-027 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | PocketBase collection public list | BaaS (Supabase/Firebase) | BAAS-028 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Hasura introspection bật | BaaS (Supabase/Firebase) | BAAS-031 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Directus collection public | BaaS (Supabase/Firebase) | BAAS-033 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Strapi public API over-exposed | BaaS (Supabase/Firebase) | BAAS-034 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | S3 bucket public listing | Cloud storage | CLD-001 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | GCS bucket public listing | Cloud storage | CLD-003 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Azure Blob container public | Cloud storage | CLD-004 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | DigitalOcean Spaces public | Cloud storage | CLD-005 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Firebase Storage/Firestore open (GET only) | Cloud storage | CLD-009 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Subdomain takeover (dangling CNAME) | Cloud storage | CLD-011 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | WP debug.log lộ | CMS | CMS-010 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Drupal install.php reachable | CMS | CMS-021 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Installer CMS còn mở (wp/joomla/drupal) | CMS | CMS-026 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Origin: null được tin + credentials | CORS | COR-002 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Validate Origin theo prefix/suffix (bypass) | CORS | COR-003 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Trang debug (Django/Laravel/Next) | File & path bị lộ | EXP-007 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Core dump lộ | File & path bị lộ | EXP-033 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Không giới hạn depth/complexity | GraphQL | GQL-005 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Mutation reachable không auth (báo hiện diện) | GraphQL | GQL-007 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Reflected XSS (canary, không thực thi) | Injection / XSS / SSRF | INJ-001 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | SQLi indicator (error-based, 1 dấu nháy) | Injection / XSS / SSRF | INJ-004 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | NoSQL injection indicator ($ne) | Injection / XSS / SSRF | INJ-005 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Path traversal indicator (1 probe) | Injection / XSS / SSRF | INJ-007 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | SSTI indicator ({{7*7}}→49) | Injection / XSS / SSRF | INJ-008 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Open relay (cần egress :25) | MAIL-009 | · | Solo per il proprietario del sitoIn arrivo | · | |
| ALTO | Spring Boot Actuator (/env, /mappings) | Panel & dịch vụ bị lộ | PNL-004 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Kubernetes Dashboard | Panel & dịch vụ bị lộ | PNL-011 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Jenkins | Panel & dịch vụ bị lộ | PNL-013 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | MinIO console | Panel & dịch vụ bị lộ | PNL-017 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Redis Commander | Panel & dịch vụ bị lộ | PNL-018 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Apache Solr admin | Panel & dịch vụ bị lộ | PNL-019 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Apache Airflow | Panel & dịch vụ bị lộ | PNL-020 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Laravel Telescope | Panel & dịch vụ bị lộ | PNL-027 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Google Maps key không giới hạn | Secret phía client | SEC-011 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Algolia key có ACL ghi/admin | Secret phía client | SEC-013 | · | Solo per il proprietario del sitoIn arrivo | · |
| ALTO | Heartbleed/ROBOT/insecure renegotiation | Transport & TLS | TLS-017 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | ID tuần tự/đoán được (dấu hiệu IDOR) | Access control / IDOR | AC-008 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Rate limit login/AI endpoint | Quét chủ động | ACT-005 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | API version cũ/không tài liệu reachable | API | API-002 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Lỗi verbose (stack/DB driver) | API | API-003 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Method tampering / unsafe methods | API | API-004 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Lạm dụng pagination/limit | API | API-009 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Enumeration qua login/reset | Auth / session / JWT | AUTH-004 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | pg_graphql introspection mở cho anon | BaaS (Supabase/Firebase) | BAAS-016 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Realtime anon subscribe được | BaaS (Supabase/Firebase) | BAAS-017 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Edge Function không auth | BaaS (Supabase/Firebase) | BAAS-018 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Supabase signup mở (spraying) | BaaS (Supabase/Firebase) | BAAS-020 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Firebase anonymous auth bật | BaaS (Supabase/Firebase) | BAAS-024 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Firebase Remote Config đọc được | BaaS (Supabase/Firebase) | BAAS-026 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Convex function public | BaaS (Supabase/Firebase) | BAAS-030 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Cloudflare R2 public bucket | Cloud storage | CLD-006 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Swagger/OpenAPI, GraphQL introspection | File & path bị lộ | EXP-005 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Sourcemap .map lộ (full source) | File & path bị lộ | EXP-023 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Introspection bật ở prod | GraphQL | GQL-002 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Field suggestion ("did you mean") | GraphQL | GQL-003 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Batching/aliasing cho phép | GraphQL | GQL-004 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | GraphQL CSRF (GET/form mutation) | GraphQL | GQL-009 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Method nguy hiểm (PUT/DELETE/PROPFIND) | Hành vi HTTP | HTTP-002 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Host header injection | Hành vi HTTP | HTTP-003 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Open redirect qua ?next/url/redirect/returnTo | Hành vi HTTP | HTTP-004 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Lỗi/stack trace lộ (malformed request) | Hành vi HTTP | HTTP-005 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Web cache deception | Hành vi HTTP | HTTP-011 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Open redirect (canary host) | Injection / XSS / SSRF | INJ-002 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Header/host injection | Injection / XSS / SSRF | INJ-006 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Vite dev server shipped to prod (/@vite/client, /@fs/) | JS & framework | JS-025 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Prometheus /metrics | Panel & dịch vụ bị lộ | PNL-006 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Grafana (anon/default) | Panel & dịch vụ bị lộ | PNL-007 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Kibana | Panel & dịch vụ bị lộ | PNL-008 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Portainer | Panel & dịch vụ bị lộ | PNL-014 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Traefik dashboard/API | Panel & dịch vụ bị lộ | PNL-015 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | RabbitMQ management | Panel & dịch vụ bị lộ | PNL-016 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Go pprof/expvar | Panel & dịch vụ bị lộ | PNL-031 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Xác minh key còn sống (whoami an toàn) | Secret phía client | SEC-007 | · | Solo per il proprietario del sitoIn arrivo | · |
| MEDIO | Dep từ package.json/composer.json → OSV | Tech / CVE / KEV / EOL | TECH-019 | · | Solo per il proprietario del sitoIn arrivo | · |
| BASSO | Joomla admin + registration mở | CMS | CMS-019 | · | Solo per il proprietario del sitoIn arrivo | · |
| BASSO | Preflight quá dễ dãi (ACAM PUT/DELETE) | CORS | COR-005 | · | Solo per il proprietario del sitoIn arrivo | · |
| BASSO | next/nuxt/vite config lộ | File & path bị lộ | EXP-022 | · | Solo per il proprietario del sitoIn arrivo | · |
| BASSO | TRACE/TRACK bật | Hành vi HTTP | HTTP-001 | · | Solo per il proprietario del sitoIn arrivo | · |
| BASSO | Phát hiện OpenAPI/Swagger + inventory | API | API-001 | · | Solo per il proprietario del sitoIn arrivo | · |
| BASSO | Phát hiện endpoint GraphQL | GraphQL | GQL-001 | · | Solo per il proprietario del sitoIn arrivo | · |
| BASSO | Thiếu Clear-Site-Data khi logout | HTTP header | HDR-015 | · | Solo per il proprietario del sitoIn arrivo | · |
| CRITICO | BOLA/IDOR (2 tài khoản test) | Access control / IDOR | AC-001 | · | · | A pagamentoIn arrivo |
| CRITICO | Role escalation qua mass assignment (no-op) | Access control / IDOR | AC-009 | · | · | A pagamentoIn arrivo |
| CRITICO | JWT alg:none / alg-confusion (token của chủ site) | Auth / session / JWT | AUTH-001 | · | · | A pagamentoIn arrivo |
| CRITICO | SSRF qua url/webhook param (OOB) | Injection / XSS / SSRF | INJ-003 | · | · | A pagamentoIn arrivo |
| ALTO | Broken function-level auth (user → admin route) | Access control / IDOR | AC-002 | · | · | A pagamentoIn arrivo |
| ALTO | Quét có đăng nhập + IDOR | Quét chủ động | ACT-004 | · | · | A pagamentoIn arrivo |
| ALTO | Excessive agency (read-only probe) | AI / LLM | AI-016 | · | · | A pagamentoIn arrivo |
| ALTO | JWT HS256 secret yếu (offline) | Auth / session / JWT | AUTH-002 | · | · | A pagamentoIn arrivo |
| ALTO | Reset token yếu (dự đoán/trong response) | Auth / session / JWT | AUTH-005 | · | · | A pagamentoIn arrivo |
| ALTO | Flow nhạy cảm thiếu anti-automation | Business logic | BIZ-001 | · | · | A pagamentoIn arrivo |
| ALTO | Coupon/price/quantity tampering (no-op) | Business logic | BIZ-002 | · | · | A pagamentoIn arrivo |
| ALTO | Bypass plan/feature-gate | Business logic | BIZ-003 | · | · | A pagamentoIn arrivo |
| ALTO | Race condition redeem (2 request) | Business logic | BIZ-004 | · | · | A pagamentoIn arrivo |
| ALTO | AI agent dò logic nghiệp vụ | Business logic | BIZ-006 | · | · | A pagamentoIn arrivo |
| ALTO | A record trỏ IP cloud có thể mất quyền | Domain / CT | DOM-005 | · | · | A pagamentoIn arrivo |
| MEDIO | Session không huỷ khi logout | Auth / session / JWT | AUTH-007 | · | · | A pagamentoIn arrivo |
| MEDIO | Domain lookalike/typosquat (dnstwist) | Domain / CT | DOM-004 | · | · | A pagamentoIn arrivo |
| MEDIO | Origin truy cập trực tiếp, bypass CDN/WAF | Hành vi HTTP | HTTP-013 | · | · | A pagamentoIn arrivo |