Todas as verificações que executamos, separadas pelo que exigem. As verificações sem ser dono rodam em todo scan, para qualquer site público. As de dono enviam requisições de teste, por isso só rodam depois que você verifica o domínio. As pagas são as verificações avançadas que estamos construindo.
324 verificações em 33 módulos
| GRAVIDADE | VERIFICAÇÃO | MÓDULO | ID | Sem ser dono do site(179) | Somente o dono do site(127) | Pago(18) |
|---|---|---|---|---|---|---|
| CRÍTICO | LLM API key trong bundle (sk-/sk-ant-) | AI / LLM | AI-007 | Sem ser dono do siteEm breve | · | · |
| CRÍTICO | Domain của NS chưa đăng ký (takeover) | DNS | DNS-011 | Sem ser dono do siteEm breve | · | · |
| CRÍTICO | Arquivo de ambiente (.env) legível publicamente Qualquer pessoa pode baixar estas variáveis, geralmente URLs de banco de dados e chaves de API. Bots procuram por | Arquivos expostos | EXP-001 | Sem ser dono do site | · | · |
| CRÍTICO | Repositório Git exposto O | Arquivos expostos | EXP-002 | Sem ser dono do site | · | · |
| CRÍTICO | Backup archive is downloadable A site or database backup ( | Arquivos expostos | EXP-003 | Sem ser dono do site | · | · |
| CRÍTICO | terraform.tfstate is exposed A Terraform state file is downloadable. State stores your infrastructure layout and often plaintext secrets (DB passwords, access keys). | Arquivos expostos | EXP-025 | Sem ser dono do site | · | · |
| CRÍTICO | SQL database dump is exposed A full SQL dump is downloadable. It can contain your entire database — users, password hashes and private data. | Arquivos expostos | EXP-026 | Sem ser dono do site | · | · |
| CRÍTICO | Private SSH key is exposed A private SSH key is downloadable. Anyone with it may be able to log in to your servers. | Arquivos expostos | EXP-031 | Sem ser dono do site | · | · |
| CRÍTICO | SPF include trỏ domain chưa đăng ký | MAIL-010 | Sem ser dono do siteEm breve | · | · | |
| CRÍTICO | Google Web Risk (không Safe Browsing) | Reputation | REP-001 | Sem ser dono do siteEm breve | · | · |
| CRÍTICO | Chèn script/SEO spam/deface | Reputation | REP-003 | Sem ser dono do siteEm breve | · | · |
| CRÍTICO | Chaves secretas expostas no código do cliente Chaves de API privadas foram encontradas em JavaScript enviado a todos os visitantes. Qualquer pessoa pode copiá-las e usar suas contas. | Segredos no cliente | SEC-001 | Sem ser dono do site | · | · |
| CRÍTICO | Chave service_role do Supabase exposta A chave service_role ignora completamente o Row Level Security. Quem a tiver pode ler e modificar todas as tabelas. | Segredos no cliente | SEC-002 | Sem ser dono do site | · | · |
| CRÍTICO | Private key EC/OpenSSH/DSA/PGP | Secret phía client | SEC-029 | Sem ser dono do siteEm breve | · | · |
| CRÍTICO | CVE trong CISA KEV | Tech / CVE / KEV / EOL | TECH-003 | Sem ser dono do siteEm breve | · | · |
| CRÍTICO | Next.js version → CVE-2025-29927/55182 | Tech / CVE / KEV / EOL | TECH-015 | Sem ser dono do siteEm breve | · | · |
| CRÍTICO | Certificado TLS expirado ou prestes a expirar Quando o certificado expira, os navegadores mostram um aviso de segurança em tela cheia e a maioria dos visitantes vai embora. | Transporte & TLS | TLS-002 | Sem ser dono do site | · | · |
| ALTO | WP plugin/theme CVE (Wordfence feed) | CMS | CMS-016 | Sem ser dono do siteEm breve | · | · |
| ALTO | Joomla config/version (CVE-2023-23752 KEV) | CMS | CMS-018 | Sem ser dono do siteEm breve | · | · |
| ALTO | Magento version + EOL + config | CMS | CMS-022 | Sem ser dono do siteEm breve | · | · |
| ALTO | CORS reflete qualquer origem Seu servidor devolve qualquer Origin em Access-Control-Allow-Origin. Com credenciais permitidas, qualquer site pode ler os dados dos seus usuários. | Cabeçalhos HTTP | COR-001 | Sem ser dono do site | · | · |
| ALTO | Subdomain takeover (can-i-take-over-xyz) | DNS | DNS-006 | Sem ser dono do siteEm breve | · | · |
| ALTO | Domain sắp hết hạn (RDAP) | DNS | DNS-007 | Sem ser dono do siteEm breve | · | · |
| ALTO | Zone transfer AXFR mở | DNS | DNS-009 | Sem ser dono do siteEm breve | · | · |
| ALTO | DNSSEC hỏng/thuật toán yếu | DNS | DNS-015 | Sem ser dono do siteEm breve | · | · |
| ALTO | Subversion repository is exposed An | Arquivos expostos | EXP-010 | Sem ser dono do site | · | · |
| ALTO | .hg/ repo lộ | File & path bị lộ | EXP-011 | Sem ser dono do siteEm breve | · | · |
| ALTO | docker-compose.yml is exposed Your | Arquivos expostos | EXP-013 | Sem ser dono do site | · | · |
| ALTO | appsettings.json is exposed A .NET | Arquivos expostos | EXP-015 | Sem ser dono do site | · | · |
| ALTO | .npmrc auth token is exposed An | Arquivos expostos | EXP-018 | Sem ser dono do site | · | · |
| ALTO | .htpasswd is exposed An | Arquivos expostos | EXP-030 | Sem ser dono do site | · | · |
| ALTO | .pypirc credential is exposed A | Arquivos expostos | EXP-032 | Sem ser dono do site | · | · |
| ALTO | __NEXT_DATA__/RSC lộ dữ liệu server (PII, token) | JS & framework | JS-011 | Sem ser dono do siteEm breve | · | · |
| ALTO | Next/Vite/Nuxt phiên bản có CVE | JS & framework | JS-018 | Sem ser dono do siteEm breve | · | · |
| ALTO | DANE TLSA cho MX | MAIL-005 | Sem ser dono do siteEm breve | · | · | |
| ALTO | phpMyAdmin | Panel & dịch vụ bị lộ | PNL-001 | Sem ser dono do siteEm breve | · | · |
| ALTO | Adminer | Panel & dịch vụ bị lộ | PNL-002 | Sem ser dono do siteEm breve | · | · |
| ALTO | Spamhaus DBL/ZEN (cần DQS key) | Reputation | REP-002 | Sem ser dono do siteEm breve | · | · |
| ALTO | Script từ domain hết hạn | Reputation | REP-004 | Sem ser dono do siteEm breve | · | · |
| ALTO | URLhaus / ThreatFox | Reputation | REP-005 | Sem ser dono do siteEm breve | · | · |
| ALTO | OpenPhish feed | Reputation | REP-006 | Sem ser dono do siteEm breve | · | · |
| ALTO | NEXT_PUBLIC_/VITE_ var nhạy cảm | Secret phía client | SEC-005 | Sem ser dono do siteEm breve | · | · |
| ALTO | Mapbox secret token sk. | Secret phía client | SEC-014 | Sem ser dono do siteEm breve | · | · |
| ALTO | SendGrid API key | Secret phía client | SEC-016 | Sem ser dono do siteEm breve | · | · |
| ALTO | Twilio SID+key | Secret phía client | SEC-017 | Sem ser dono do siteEm breve | · | · |
| ALTO | Mailgun key | Secret phía client | SEC-018 | Sem ser dono do siteEm breve | · | · |
| ALTO | Shopify token (shpat_/shpca_…) | Secret phía client | SEC-019 | Sem ser dono do siteEm breve | · | · |
| ALTO | Google OAuth client secret GOCSPX- | Secret phía client | SEC-020 | Sem ser dono do siteEm breve | · | · |
| ALTO | Firebase FCM server key (legacy) | Secret phía client | SEC-021 | Sem ser dono do siteEm breve | · | · |
| ALTO | Doppler/Linear/Notion/Postman/npm/PyPI token | Secret phía client | SEC-023 | Sem ser dono do siteEm breve | · | · |
| ALTO | DigitalOcean/Cloudflare/HashiCorp token | Secret phía client | SEC-024 | Sem ser dono do siteEm breve | · | · |
| ALTO | Airtable PAT | Secret phía client | SEC-025 | Sem ser dono do siteEm breve | · | · |
| ALTO | Square/PayPal/Razorpay/Paystack key | Secret phía client | SEC-026 | Sem ser dono do siteEm breve | · | · |
| ALTO | Basic-auth creds trong URL | Secret phía client | SEC-032 | Sem ser dono do siteEm breve | · | · |
| ALTO | CDN bị chiếm (polyfill.io, bootcss…) | Supply chain | SUP-002 | Sem ser dono do siteEm breve | · | · |
| ALTO | Script trên bucket/host dangling | Supply chain | SUP-005 | Sem ser dono do siteEm breve | · | · |
| ALTO | JS library có CVE (retire.js) | Tech / CVE / KEV / EOL | TECH-011 | Sem ser dono do siteEm breve | · | · |
| ALTO | Vite dev server prod → CVE-2025-30208 | Tech / CVE / KEV / EOL | TECH-016 | Sem ser dono do siteEm breve | · | · |
| ALTO | HTTPS não obrigatório O site não é servido por HTTPS, ou o HTTP simples não redireciona para HTTPS. O tráfego pode ser lido ou modificado em redes Wi‑Fi públicas. | Transporte & TLS | TLS-001 | Sem ser dono do site | · | · |
| ALTO | Certificado TLS não é confiável Os navegadores rejeitam o certificado (hostname incorreto, autoassinado ou cadeia incompleta), então os visitantes veem um aviso de segurança. | Transporte & TLS | TLS-003 | Sem ser dono do site | · | · |
| ALTO | Cert bị thu hồi (CRL) | Transport & TLS | TLS-007 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | JWT thiếu exp / exp quá dài / thiếu aud | Auth / session / JWT | AUTH-003 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Session cookie flag (test login) | Auth / session / JWT | AUTH-006 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Cookies sem flags de segurança Cookies sem Secure, HttpOnly ou SameSite podem ser roubados via HTTP, lidos por scripts injetados ou enviados em requisições entre sites. | Cabeçalhos HTTP | CK-001 | Sem ser dono do site | · | · |
| MÉDIO | Cookie/JWT đọc được (alg:none, PII, role trong claim) | Cookie | CK-006 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | WP REST user enumeration | CMS | CMS-012 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | WP xmlrpc listMethods | CMS | CMS-013 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Drupal version + EOL + user enum | CMS | CMS-020 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Shopify fingerprint + app secret leak | CMS | CMS-025 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Registro SPF ausente Sem SPF, os servidores de e-mail que recebem mensagens não sabem quais servidores podem enviar e-mails pelo seu domínio, o que facilita a falsificação. | DNS & e-mail | DNS-001 | Sem ser dono do site | · | · |
| MÉDIO | DMARC ausente ou não aplicado Sem uma política DMARC aplicada, invasores podem enviar e-mails que parecem vir do seu domínio. | DNS & e-mail | DNS-002 | Sem ser dono do site | · | · |
| MÉDIO | NS là open resolver | DNS | DNS-008 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | CA lạ cấp cert (crt.sh) | Domain / CT | DOM-002 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Subdomain nhạy cảm từ CT log (dev/staging/admin) | Domain / CT | DOM-003 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Directory listing | File & path bị lộ | EXP-006 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | web.config is exposed An ASP.NET | Arquivos expostos | EXP-014 | Sem ser dono do site | · | · |
| MÉDIO | Content-Security-Policy ausente ou fraca Sem uma CSP forte, qualquer script injetado roda com acesso total à sua página e às sessões dos seus usuários. | Cabeçalhos HTTP | HDR-001 | Sem ser dono do site | · | · |
| MÉDIO | Proteção contra clickjacking ausente Outros sites podem carregar suas páginas em um frame oculto e induzir usuários a clicar em botões. | Cabeçalhos HTTP | HDR-002 | Sem ser dono do site | · | · |
| MÉDIO | CSP yếu (unsafe-eval, *, data: trong script-src) — logic CSP Evaluator | HTTP header | HDR-005 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Response cache được mà có Set-Cookie | Hành vi HTTP | HTTP-010 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | postMessage không kiểm Origin (static) | Injection / XSS / SSRF | INJ-010 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Nuxt __NUXT__ state leak | JS & framework | JS-012 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | SvelteKit/Remix loader data leak | JS & framework | JS-013 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Next Server Action ID disclosure | JS & framework | JS-016 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Route admin/debug hardcode trong router | JS & framework | JS-021 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | SPF quá rộng/invalid (+all, >10 lookup, ptr) | MAIL-001 | Sem ser dono do siteEm breve | · | · | |
| MÉDIO | MX thiếu STARTTLS / cert xấu (cần egress :25) | MAIL-003 | Sem ser dono do siteEm breve | · | · | |
| MÉDIO | MX dangling/misconfig | MAIL-007 | Sem ser dono do siteEm breve | · | · | |
| MÉDIO | Domain không gửi mail thiếu -all + p=reject | MAIL-008 | Sem ser dono do siteEm breve | · | · | |
| MÉDIO | DKIM key yếu (RSA ≤1024) / test mode | MAIL-011 | Sem ser dono do siteEm breve | · | · | |
| MÉDIO | Tracker/cookie trước khi consent (EU) | Privacy | PRV-003 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | IP hosting có port/CVE lộ (Shodan InternetDB) | Reputation | REP-007 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | UA cloaking (SEO spam) | Reputation | REP-008 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Google API key AIza… | Secret phía client | SEC-010 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Algolia app+API key | Secret phía client | SEC-012 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | HuggingFace token hf_ | Secret phía client | SEC-022 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Slack webhook URL | Secret phía client | SEC-027 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | JS library có CVE (retire.js) — gộp với TECH-011 | Supply chain | SUP-003 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Script không pin version (@latest, raw github) | Supply chain | SUP-004 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Form login/payment post sang host lạ/HTTP | Supply chain | SUP-008 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Version có CVE (OSV/NVD/GHSA) | Tech / CVE / KEV / EOL | TECH-002 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Phần mềm EOL (endoflife.date) | Tech / CVE / KEV / EOL | TECH-004 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | WordPress core/plugin/theme CVE | Tech / CVE / KEV / EOL | TECH-005 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | TLS 1.0/1.1, cipher yếu | Transport & TLS | TLS-004 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | HSTS ausente ou curto demais Sem Strict-Transport-Security, um invasor na mesma rede pode forçar o downgrade de uma visita para HTTP. | Transporte & TLS | TLS-005 | Sem ser dono do site | · | · |
| MÉDIO | Khoá/chữ ký yếu (RSA<2048, SHA-1) | Transport & TLS | TLS-008 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | DH params yếu (Logjam) | Transport & TLS | TLS-009 | Sem ser dono do siteEm breve | · | · |
| MÉDIO | Chain thiếu intermediate (browser giấu, API vỡ) | Transport & TLS | TLS-012 | Sem ser dono do siteEm breve | · | · |
| BAIXO | API thiếu security header | API | API-008 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Thiếu header rate-limit | API | API-016 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Vi phạm prefix (__Secure- không Secure, SameSite=None không Secure) | Cookie | CK-003 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Cookie Domain quá rộng (.example.com) | Cookie | CK-004 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Session cookie sống quá lâu (>30 ngày) | Cookie | CK-005 | Sem ser dono do siteEm breve | · | · |
| BAIXO | S3 bucket tồn tại (AccessDenied) | Cloud storage | CLD-002 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Dấu hiệu SSRF metadata (169.254.169.254) | Cloud storage | CLD-010 | Sem ser dono do siteEm breve | · | · |
| BAIXO | WP wp-cron / uploads listing | CMS | CMS-014 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Ghost admin + version | CMS | CMS-024 | Sem ser dono do siteEm breve | · | · |
| BAIXO | WP readme.html core version | CMS | CMS-027 | Sem ser dono do siteEm breve | · | · |
| BAIXO | ACAO * trên API JSON /api/* | CORS | COR-004 | Sem ser dono do siteEm breve | · | · |
| BAIXO | DKIM selector phổ biến | DNS | DNS-003 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Sem registro CAA Qualquer autoridade certificadora pode emitir certificados para o seu domínio. O CAA restringe a emissão às CAs que você realmente usa. | DNS & e-mail | DNS-004 | Sem ser dono do site | · | · |
| BAIXO | NS kém bền (số lượng, cùng /24, lame) | DNS | DNS-010 | Sem ser dono do siteEm breve | · | · |
| BAIXO | IP nội bộ trong DNS công khai | DNS | DNS-016 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Thiếu registrar transfer lock (RDAP) | Domain / CT | DOM-001 | Sem ser dono do siteEm breve | · | · |
| BAIXO | .DS_Store file is exposed A macOS | Arquivos expostos | EXP-004 | Sem ser dono do site | · | · |
| BAIXO | firebase.json / .firebaserc lộ | File & path bị lộ | EXP-019 | Sem ser dono do siteEm breve | · | · |
| BAIXO | vercel.json / netlify.toml lộ | File & path bị lộ | EXP-020 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Cabeçalhos de segurança básicos ausentes X-Content-Type-Options e Referrer-Policy são padrões simples que bloqueiam o MIME sniffing e evitam o vazamento de URLs completas para outros sites. | Cabeçalhos HTTP | HDR-003 | Sem ser dono do site | · | · |
| BAIXO | Versão do servidor ou do framework divulgada Banners de versão ajudam invasores a relacionar sua stack com vulnerabilidades conhecidas. | Cabeçalhos HTTP | HDR-004 | Sem ser dono do site | · | · |
| BAIXO | Header lỗi thời/nguy hiểm (HPKP, X-XSS-Protection≠0) | HTTP header | HDR-009 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Referrer-Policy yếu (unsafe-url) | HTTP header | HDR-010 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Header trùng/xung đột/sai cú pháp | HTTP header | HDR-011 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Header lộ stack (X-AspNet-Version, X-Runtime, IP nội bộ) | HTTP header | HDR-012 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Trang auth thiếu Cache-Control: no-store | HTTP header | HDR-013 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Header không nhất quán giữa các path | HTTP header | HDR-014 | Sem ser dono do siteEm breve | · | · |
| BAIXO | sitemap lộ URL/host không công khai | Hành vi HTTP | HTTP-007 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Trang mặc định/placeholder (nginx welcome, parking) | Hành vi HTTP | HTTP-012 | Sem ser dono do siteEm breve | · | · |
| BAIXO | localhost/IP nội bộ/preview URL trong bundle | JS & framework | JS-020 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Comment lộ TODO/credential/host nội bộ | JS & framework | JS-022 | Sem ser dono do siteEm breve | · | · |
| BAIXO | _buildManifest.js lộ route ẩn | JS & framework | JS-027 | Sem ser dono do siteEm breve | · | · |
| BAIXO | DMARC yếu (pct<100, sp=none, no rua) | MAIL-002 | Sem ser dono do siteEm breve | · | · | |
| BAIXO | MTA-STS / TLS-RPT thiếu/hỏng | MAIL-004 | Sem ser dono do siteEm breve | · | · | |
| BAIXO | Không có link privacy policy | Privacy | PRV-004 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Session replay trên trang form (Hotjar/Clarity) | Privacy | PRV-006 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Source maps acessíveis publicamente Seu código-fonte original pode ser reconstruído a partir dos arquivos | Segredos no cliente | SEC-004 | Sem ser dono do site | · | · |
| BAIXO | URL nội bộ/staging trong JS | Secret phía client | SEC-006 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Sentry DSN | Secret phía client | SEC-015 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Chuỗi entropy cao gần keyword credential | Secret phía client | SEC-030 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Script/CSS bên thứ ba không SRI | Supply chain | SUP-001 | Sem ser dono do siteEm breve | · | · |
| BAIXO | SRI yếu (sha1/md5) / thiếu crossorigin | Supply chain | SUP-006 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Link social/GitHub có thể hijack | Supply chain | SUP-007 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Header version mở rộng (X-Runtime, X-Drupal-Cache) | Tech / CVE / KEV / EOL | TECH-013 | Sem ser dono do siteEm breve | · | · |
| BAIXO | <meta generator> lộ version | Tech / CVE / KEV / EOL | TECH-014 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Mixed content | Transport & TLS | TLS-006 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Không forward secrecy / không AEAD (TLS1.2) | Transport & TLS | TLS-011 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Thiếu SCT (CT policy) | Transport & TLS | TLS-013 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Redirect sang host khác trước khi set HSTS | Transport & TLS | TLS-015 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Liệt kê table qua PostgREST OpenAPI | BaaS (Supabase/Firebase) | BAAS-001 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Supabase project + anon key (nền) | BaaS (Supabase/Firebase) | BAAS-010 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Firebase config extract (nền) | BaaS (Supabase/Firebase) | BAAS-021 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Session cookie thiếu prefix __Host- | Cookie | CK-002 | Sem ser dono do siteEm breve | · | · |
| BAIXO | DNSSEC | DNS | DNS-005 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Wildcard DNS | DNS | DNS-014 | Sem ser dono do siteEm breve | · | · |
| BAIXO | CSP chỉ report-only hoặc chỉ trong meta tag | HTTP header | HDR-006 | Sem ser dono do siteEm breve | · | · |
| BAIXO | COOP thiếu | HTTP header | HDR-007 | Sem ser dono do siteEm breve | · | · |
| BAIXO | CORP/COEP không set | HTTP header | HDR-008 | Sem ser dono do siteEm breve | · | · |
| BAIXO | robots.txt lộ path nhạy cảm | Hành vi HTTP | HTTP-006 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Không hỗ trợ HTTP/2; HTTP/3 info | Hành vi HTTP | HTTP-008 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Dấu hiệu request smuggling (passive) | Hành vi HTTP | HTTP-009 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Liệt kê bundle + trích endpoint (jsluice) — nền cho nhiều check | JS & framework | JS-010 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Fingerprint framework + version | JS & framework | JS-017 | Sem ser dono do siteEm breve | · | · |
| BAIXO | BIMI record (info) | MAIL-006 | Sem ser dono do siteEm breve | · | · | |
| BAIXO | security.txt thiếu | Privacy | PRV-001 | Sem ser dono do siteEm breve | · | · |
| BAIXO | security.txt invalid | Privacy | PRV-002 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Google Fonts/3rd-party nhạy cảm EU | Privacy | PRV-005 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Nhận diện công nghệ + version (webappanalyzer) | Tech / CVE / KEV / EOL | TECH-001 | Sem ser dono do siteEm breve | · | · |
| BAIXO | EPSS enrichment (xếp hạng ưu tiên) | Tech / CVE / KEV / EOL | TECH-018 | Sem ser dono do siteEm breve | · | · |
| BAIXO | Không hỗ trợ TLS 1.3 | Transport & TLS | TLS-010 | Sem ser dono do siteEm breve | · | · |
| BAIXO | HSTS thiếu includeSubDomains/preload | Transport & TLS | TLS-014 | Sem ser dono do siteEm breve | · | · |
| CRÍTICO | Next.js middleware bypass (gộp JS-014) | Access control / IDOR | AC-003 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | LLM proxy endpoint không auth (abuse) | AI / LLM | AI-002 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Key provider lộ qua error | AI / LLM | AI-006 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | MCP server lộ (tools/list, không gọi tool) | AI / LLM | AI-009 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | ChromaDB lộ (metadata) | AI / LLM | AI-012 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Stripe sk_live lộ / webhook không verify sig | API | API-015 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Tabelas do Supabase legíveis sem login Usando a chave anon pública do seu site, conseguimos ler linhas destas tabelas. O Row Level Security está desativado ou uma política permite leitura pública. | Backend (Supabase / Firebase) | BAAS-002 | · | Somente o dono do site | · |
| CRÍTICO | Firebase Realtime Database com leitura pública As regras do seu banco de dados permitem leitura sem autenticação, então qualquer pessoa pode baixar os dados. | Backend (Supabase / Firebase) | BAAS-004 | · | Somente o dono do site | · |
| CRÍTICO | Supabase table ghi được bằng anon (CVE-2025-48757) | BaaS (Supabase/Firebase) | BAAS-011 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | auth.users lộ qua view/API | BaaS (Supabase/Firebase) | BAAS-012 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | RLS tắt hàng loạt (splinter 0013) | BaaS (Supabase/Firebase) | BAAS-013 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Firestore đọc không auth | BaaS (Supabase/Firebase) | BAAS-022 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Hasura query anon (role permissive) | BaaS (Supabase/Firebase) | BAAS-032 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Firebase RTDB world-readable (GET only) | Cloud storage | CLD-008 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | WP DB backup / repair.php | CMS | CMS-011 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | WP wp-config backup / setup reachable | CMS | CMS-015 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Backup config CMS (wp-config.php~, .bak) | File & path bị lộ | EXP-027 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Hasura/PostGraphile admin mở | GraphQL | GQL-006 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Next.js middleware bypass CVE-2025-29927 (header) | JS & framework | JS-014 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | RSC RCE CVE-2025-55182 (probe không thực thi) | JS & framework | JS-015 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Actuator /heapdump tải được | Panel & dịch vụ bị lộ | PNL-005 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Elasticsearch không auth | Panel & dịch vụ bị lộ | PNL-009 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Docker Engine API lộ | Panel & dịch vụ bị lộ | PNL-010 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Kubelet/K8s API read-only | Panel & dịch vụ bị lộ | PNL-012 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Supabase Studio lộ | Panel & dịch vụ bị lộ | PNL-021 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Jupyter Notebook không auth | Panel & dịch vụ bị lộ | PNL-025 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | Flask/Werkzeug debugger | Panel & dịch vụ bị lộ | PNL-030 | · | Somente o dono do siteEm breve | · |
| ALTO | AI route thiếu rate limit | AI / LLM | AI-003 | · | Somente o dono do siteEm breve | · |
| ALTO | System prompt leakage | AI / LLM | AI-004 | · | Somente o dono do siteEm breve | · |
| ALTO | Client override model/max_tokens | AI / LLM | AI-008 | · | Somente o dono do siteEm breve | · |
| ALTO | Ollama lộ (/api/tags) | AI / LLM | AI-010 | · | Somente o dono do siteEm breve | · |
| ALTO | LM Studio/Open WebUI/vLLM lộ | AI / LLM | AI-011 | · | Somente o dono do siteEm breve | · |
| ALTO | Qdrant lộ | AI / LLM | AI-013 | · | Somente o dono do siteEm breve | · |
| ALTO | Weaviate lộ | AI / LLM | AI-014 | · | Somente o dono do siteEm breve | · |
| ALTO | Output LLM render thành HTML (XSS) | AI / LLM | AI-017 | · | Somente o dono do siteEm breve | · |
| ALTO | Mass assignment / field thừa (role, password_hash) | API | API-005 | · | Somente o dono do siteEm breve | · |
| ALTO | CORS reflect + credentials (API) | API | API-006 | · | Somente o dono do siteEm breve | · |
| ALTO | Endpoint secured trả data khi không auth | API | API-007 | · | Somente o dono do siteEm breve | · |
| ALTO | Actuator/metrics/debug lộ (gộp PNL-004/06) | API | API-011 | · | Somente o dono do siteEm breve | · |
| ALTO | OAuth redirect_uri validation yếu | Auth / session / JWT | AUTH-009 | · | Somente o dono do siteEm breve | · |
| ALTO | Credential mặc định trên panel (1 lần/panel) | Auth / session / JWT | AUTH-010 | · | Somente o dono do siteEm breve | · |
| ALTO | Buckets de storage do Supabase podem ser listados Qualquer pessoa com sua chave pública pode listar os arquivos destes buckets, o que costuma expor uploads de usuários. | Backend (Supabase / Firebase) | BAAS-003 | · | Somente o dono do site | · |
| ALTO | Bucket do Firebase Storage pode ser listado publicamente As regras do seu Storage permitem listar arquivos sem autenticação. | Backend (Supabase / Firebase) | BAAS-005 | · | Somente o dono do site | · |
| ALTO | Security-definer view bypass RLS | BaaS (Supabase/Firebase) | BAAS-014 | · | Somente o dono do siteEm breve | · |
| ALTO | RPC function anon gọi được | BaaS (Supabase/Firebase) | BAAS-015 | · | Somente o dono do siteEm breve | · |
| ALTO | Appwrite collection public | BaaS (Supabase/Firebase) | BAAS-027 | · | Somente o dono do siteEm breve | · |
| ALTO | PocketBase collection public list | BaaS (Supabase/Firebase) | BAAS-028 | · | Somente o dono do siteEm breve | · |
| ALTO | Hasura introspection bật | BaaS (Supabase/Firebase) | BAAS-031 | · | Somente o dono do siteEm breve | · |
| ALTO | Directus collection public | BaaS (Supabase/Firebase) | BAAS-033 | · | Somente o dono do siteEm breve | · |
| ALTO | Strapi public API over-exposed | BaaS (Supabase/Firebase) | BAAS-034 | · | Somente o dono do siteEm breve | · |
| ALTO | S3 bucket public listing | Cloud storage | CLD-001 | · | Somente o dono do siteEm breve | · |
| ALTO | GCS bucket public listing | Cloud storage | CLD-003 | · | Somente o dono do siteEm breve | · |
| ALTO | Azure Blob container public | Cloud storage | CLD-004 | · | Somente o dono do siteEm breve | · |
| ALTO | DigitalOcean Spaces public | Cloud storage | CLD-005 | · | Somente o dono do siteEm breve | · |
| ALTO | Firebase Storage/Firestore open (GET only) | Cloud storage | CLD-009 | · | Somente o dono do siteEm breve | · |
| ALTO | Subdomain takeover (dangling CNAME) | Cloud storage | CLD-011 | · | Somente o dono do siteEm breve | · |
| ALTO | WP debug.log lộ | CMS | CMS-010 | · | Somente o dono do siteEm breve | · |
| ALTO | Drupal install.php reachable | CMS | CMS-021 | · | Somente o dono do siteEm breve | · |
| ALTO | Installer CMS còn mở (wp/joomla/drupal) | CMS | CMS-026 | · | Somente o dono do siteEm breve | · |
| ALTO | Origin: null được tin + credentials | CORS | COR-002 | · | Somente o dono do siteEm breve | · |
| ALTO | Validate Origin theo prefix/suffix (bypass) | CORS | COR-003 | · | Somente o dono do siteEm breve | · |
| ALTO | Trang debug (Django/Laravel/Next) | File & path bị lộ | EXP-007 | · | Somente o dono do siteEm breve | · |
| ALTO | Core dump lộ | File & path bị lộ | EXP-033 | · | Somente o dono do siteEm breve | · |
| ALTO | Không giới hạn depth/complexity | GraphQL | GQL-005 | · | Somente o dono do siteEm breve | · |
| ALTO | Mutation reachable không auth (báo hiện diện) | GraphQL | GQL-007 | · | Somente o dono do siteEm breve | · |
| ALTO | Reflected XSS (canary, không thực thi) | Injection / XSS / SSRF | INJ-001 | · | Somente o dono do siteEm breve | · |
| ALTO | SQLi indicator (error-based, 1 dấu nháy) | Injection / XSS / SSRF | INJ-004 | · | Somente o dono do siteEm breve | · |
| ALTO | NoSQL injection indicator ($ne) | Injection / XSS / SSRF | INJ-005 | · | Somente o dono do siteEm breve | · |
| ALTO | Path traversal indicator (1 probe) | Injection / XSS / SSRF | INJ-007 | · | Somente o dono do siteEm breve | · |
| ALTO | SSTI indicator ({{7*7}}→49) | Injection / XSS / SSRF | INJ-008 | · | Somente o dono do siteEm breve | · |
| ALTO | Open relay (cần egress :25) | MAIL-009 | · | Somente o dono do siteEm breve | · | |
| ALTO | Spring Boot Actuator (/env, /mappings) | Panel & dịch vụ bị lộ | PNL-004 | · | Somente o dono do siteEm breve | · |
| ALTO | Kubernetes Dashboard | Panel & dịch vụ bị lộ | PNL-011 | · | Somente o dono do siteEm breve | · |
| ALTO | Jenkins | Panel & dịch vụ bị lộ | PNL-013 | · | Somente o dono do siteEm breve | · |
| ALTO | MinIO console | Panel & dịch vụ bị lộ | PNL-017 | · | Somente o dono do siteEm breve | · |
| ALTO | Redis Commander | Panel & dịch vụ bị lộ | PNL-018 | · | Somente o dono do siteEm breve | · |
| ALTO | Apache Solr admin | Panel & dịch vụ bị lộ | PNL-019 | · | Somente o dono do siteEm breve | · |
| ALTO | Apache Airflow | Panel & dịch vụ bị lộ | PNL-020 | · | Somente o dono do siteEm breve | · |
| ALTO | Laravel Telescope | Panel & dịch vụ bị lộ | PNL-027 | · | Somente o dono do siteEm breve | · |
| ALTO | Google Maps key không giới hạn | Secret phía client | SEC-011 | · | Somente o dono do siteEm breve | · |
| ALTO | Algolia key có ACL ghi/admin | Secret phía client | SEC-013 | · | Somente o dono do siteEm breve | · |
| ALTO | Heartbleed/ROBOT/insecure renegotiation | Transport & TLS | TLS-017 | · | Somente o dono do siteEm breve | · |
| MÉDIO | ID tuần tự/đoán được (dấu hiệu IDOR) | Access control / IDOR | AC-008 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Rate limit login/AI endpoint | Quét chủ động | ACT-005 | · | Somente o dono do siteEm breve | · |
| MÉDIO | API version cũ/không tài liệu reachable | API | API-002 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Lỗi verbose (stack/DB driver) | API | API-003 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Method tampering / unsafe methods | API | API-004 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Lạm dụng pagination/limit | API | API-009 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Enumeration qua login/reset | Auth / session / JWT | AUTH-004 | · | Somente o dono do siteEm breve | · |
| MÉDIO | pg_graphql introspection mở cho anon | BaaS (Supabase/Firebase) | BAAS-016 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Realtime anon subscribe được | BaaS (Supabase/Firebase) | BAAS-017 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Edge Function không auth | BaaS (Supabase/Firebase) | BAAS-018 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Supabase signup mở (spraying) | BaaS (Supabase/Firebase) | BAAS-020 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Firebase anonymous auth bật | BaaS (Supabase/Firebase) | BAAS-024 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Firebase Remote Config đọc được | BaaS (Supabase/Firebase) | BAAS-026 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Convex function public | BaaS (Supabase/Firebase) | BAAS-030 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Cloudflare R2 public bucket | Cloud storage | CLD-006 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Swagger/OpenAPI, GraphQL introspection | File & path bị lộ | EXP-005 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Sourcemap .map lộ (full source) | File & path bị lộ | EXP-023 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Introspection bật ở prod | GraphQL | GQL-002 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Field suggestion ("did you mean") | GraphQL | GQL-003 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Batching/aliasing cho phép | GraphQL | GQL-004 | · | Somente o dono do siteEm breve | · |
| MÉDIO | GraphQL CSRF (GET/form mutation) | GraphQL | GQL-009 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Method nguy hiểm (PUT/DELETE/PROPFIND) | Hành vi HTTP | HTTP-002 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Host header injection | Hành vi HTTP | HTTP-003 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Open redirect qua ?next/url/redirect/returnTo | Hành vi HTTP | HTTP-004 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Lỗi/stack trace lộ (malformed request) | Hành vi HTTP | HTTP-005 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Web cache deception | Hành vi HTTP | HTTP-011 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Open redirect (canary host) | Injection / XSS / SSRF | INJ-002 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Header/host injection | Injection / XSS / SSRF | INJ-006 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Vite dev server shipped to prod (/@vite/client, /@fs/) | JS & framework | JS-025 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Prometheus /metrics | Panel & dịch vụ bị lộ | PNL-006 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Grafana (anon/default) | Panel & dịch vụ bị lộ | PNL-007 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Kibana | Panel & dịch vụ bị lộ | PNL-008 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Portainer | Panel & dịch vụ bị lộ | PNL-014 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Traefik dashboard/API | Panel & dịch vụ bị lộ | PNL-015 | · | Somente o dono do siteEm breve | · |
| MÉDIO | RabbitMQ management | Panel & dịch vụ bị lộ | PNL-016 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Go pprof/expvar | Panel & dịch vụ bị lộ | PNL-031 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Xác minh key còn sống (whoami an toàn) | Secret phía client | SEC-007 | · | Somente o dono do siteEm breve | · |
| MÉDIO | Dep từ package.json/composer.json → OSV | Tech / CVE / KEV / EOL | TECH-019 | · | Somente o dono do siteEm breve | · |
| BAIXO | Joomla admin + registration mở | CMS | CMS-019 | · | Somente o dono do siteEm breve | · |
| BAIXO | Preflight quá dễ dãi (ACAM PUT/DELETE) | CORS | COR-005 | · | Somente o dono do siteEm breve | · |
| BAIXO | next/nuxt/vite config lộ | File & path bị lộ | EXP-022 | · | Somente o dono do siteEm breve | · |
| BAIXO | TRACE/TRACK bật | Hành vi HTTP | HTTP-001 | · | Somente o dono do siteEm breve | · |
| BAIXO | Phát hiện OpenAPI/Swagger + inventory | API | API-001 | · | Somente o dono do siteEm breve | · |
| BAIXO | Phát hiện endpoint GraphQL | GraphQL | GQL-001 | · | Somente o dono do siteEm breve | · |
| BAIXO | Thiếu Clear-Site-Data khi logout | HTTP header | HDR-015 | · | Somente o dono do siteEm breve | · |
| CRÍTICO | BOLA/IDOR (2 tài khoản test) | Access control / IDOR | AC-001 | · | · | PagoEm breve |
| CRÍTICO | Role escalation qua mass assignment (no-op) | Access control / IDOR | AC-009 | · | · | PagoEm breve |
| CRÍTICO | JWT alg:none / alg-confusion (token của chủ site) | Auth / session / JWT | AUTH-001 | · | · | PagoEm breve |
| CRÍTICO | SSRF qua url/webhook param (OOB) | Injection / XSS / SSRF | INJ-003 | · | · | PagoEm breve |
| ALTO | Broken function-level auth (user → admin route) | Access control / IDOR | AC-002 | · | · | PagoEm breve |
| ALTO | Quét có đăng nhập + IDOR | Quét chủ động | ACT-004 | · | · | PagoEm breve |
| ALTO | Excessive agency (read-only probe) | AI / LLM | AI-016 | · | · | PagoEm breve |
| ALTO | JWT HS256 secret yếu (offline) | Auth / session / JWT | AUTH-002 | · | · | PagoEm breve |
| ALTO | Reset token yếu (dự đoán/trong response) | Auth / session / JWT | AUTH-005 | · | · | PagoEm breve |
| ALTO | Flow nhạy cảm thiếu anti-automation | Business logic | BIZ-001 | · | · | PagoEm breve |
| ALTO | Coupon/price/quantity tampering (no-op) | Business logic | BIZ-002 | · | · | PagoEm breve |
| ALTO | Bypass plan/feature-gate | Business logic | BIZ-003 | · | · | PagoEm breve |
| ALTO | Race condition redeem (2 request) | Business logic | BIZ-004 | · | · | PagoEm breve |
| ALTO | AI agent dò logic nghiệp vụ | Business logic | BIZ-006 | · | · | PagoEm breve |
| ALTO | A record trỏ IP cloud có thể mất quyền | Domain / CT | DOM-005 | · | · | PagoEm breve |
| MÉDIO | Session không huỷ khi logout | Auth / session / JWT | AUTH-007 | · | · | PagoEm breve |
| MÉDIO | Domain lookalike/typosquat (dnstwist) | Domain / CT | DOM-004 | · | · | PagoEm breve |
| MÉDIO | Origin truy cập trực tiếp, bypass CDN/WAF | Hành vi HTTP | HTTP-013 | · | · | PagoEm breve |