Mọi hạng mục kiểm tra, chia theo điều kiện sử dụng. Kiểm tra không cần là chủ website chạy trong mọi lần quét, với bất kỳ website công khai nào. Kiểm tra cần chủ website gửi request thăm dò nên chỉ chạy sau khi bạn xác minh domain. Kiểm tra trả phí là các hạng mục nâng cao chúng tôi đang xây dựng.
324 kiểm tra trong 33 module
| MỨC ĐỘ | HẠNG MỤC KIỂM TRA | MODULE | ID | Không cần là chủ website(179) | Cần là chủ website(127) | Trả phí(18) |
|---|---|---|---|---|---|---|
| NGHIÊM TRỌNG | LLM API key trong bundle (sk-/sk-ant-) | AI / LLM | AI-007 | Không cần là chủ websiteSắp có | · | · |
| NGHIÊM TRỌNG | Domain của NS chưa đăng ký (takeover) | DNS | DNS-011 | Không cần là chủ websiteSắp có | · | · |
| NGHIÊM TRỌNG | File môi trường (.env) có thể đọc công khai Ai cũng tải được các biến này — thường là URL database và API key. Bot dò | File bị lộ | EXP-001 | Không cần là chủ website | · | · |
| NGHIÊM TRỌNG | Lộ thư mục Git
| File bị lộ | EXP-002 | Không cần là chủ website | · | · |
| NGHIÊM TRỌNG | Tải được file backup Một bản backup site hoặc database ( | File bị lộ | EXP-003 | Không cần là chủ website | · | · |
| NGHIÊM TRỌNG | Lộ terraform.tfstate File state của Terraform tải được. State lưu cấu trúc hạ tầng và thường cả secret dạng văn bản (mật khẩu DB, access key). | File bị lộ | EXP-025 | Không cần là chủ website | · | · |
| NGHIÊM TRỌNG | Lộ bản dump database SQL Một bản dump SQL đầy đủ tải được, có thể chứa toàn bộ database — người dùng, hash mật khẩu và dữ liệu riêng tư. | File bị lộ | EXP-026 | Không cần là chủ website | · | · |
| NGHIÊM TRỌNG | Lộ private key SSH Một private key SSH tải được. Bất kỳ ai có nó đều có thể đăng nhập vào máy chủ của bạn. | File bị lộ | EXP-031 | Không cần là chủ website | · | · |
| NGHIÊM TRỌNG | SPF include trỏ domain chưa đăng ký | MAIL-010 | Không cần là chủ websiteSắp có | · | · | |
| NGHIÊM TRỌNG | Google Web Risk (không Safe Browsing) | Reputation | REP-001 | Không cần là chủ websiteSắp có | · | · |
| NGHIÊM TRỌNG | Chèn script/SEO spam/deface | Reputation | REP-003 | Không cần là chủ websiteSắp có | · | · |
| NGHIÊM TRỌNG | Lộ secret key trong mã phía client Phát hiện API key bí mật trong JavaScript gửi tới mọi người truy cập. Ai cũng có thể sao chép và dùng tài khoản của bạn. | Secret phía client | SEC-001 | Không cần là chủ website | · | · |
| NGHIÊM TRỌNG | Lộ Supabase service_role key service_role key bỏ qua hoàn toàn Row Level Security. Ai có key này đều đọc và sửa được mọi bảng. | Secret phía client | SEC-002 | Không cần là chủ website | · | · |
| NGHIÊM TRỌNG | Private key EC/OpenSSH/DSA/PGP | Secret phía client | SEC-029 | Không cần là chủ websiteSắp có | · | · |
| NGHIÊM TRỌNG | CVE trong CISA KEV | Tech / CVE / KEV / EOL | TECH-003 | Không cần là chủ websiteSắp có | · | · |
| NGHIÊM TRỌNG | Next.js version → CVE-2025-29927/55182 | Tech / CVE / KEV / EOL | TECH-015 | Không cần là chủ websiteSắp có | · | · |
| NGHIÊM TRỌNG | Chứng chỉ TLS đã hoặc sắp hết hạn Khi chứng chỉ hết hạn, trình duyệt hiện cảnh báo bảo mật toàn trang và phần lớn khách sẽ rời đi. | Truyền tải & TLS | TLS-002 | Không cần là chủ website | · | · |
| CAO | WP plugin/theme CVE (Wordfence feed) | CMS | CMS-016 | Không cần là chủ websiteSắp có | · | · |
| CAO | Joomla config/version (CVE-2023-23752 KEV) | CMS | CMS-018 | Không cần là chủ websiteSắp có | · | · |
| CAO | Magento version + EOL + config | CMS | CMS-022 | Không cần là chủ websiteSắp có | · | · |
| CAO | CORS chấp nhận mọi origin Server phản chiếu bất kỳ Origin nào vào Access-Control-Allow-Origin. Nếu cho phép credentials, mọi website đều đọc được dữ liệu người dùng của bạn. | HTTP header | COR-001 | Không cần là chủ website | · | · |
| CAO | Subdomain takeover (can-i-take-over-xyz) | DNS | DNS-006 | Không cần là chủ websiteSắp có | · | · |
| CAO | Domain sắp hết hạn (RDAP) | DNS | DNS-007 | Không cần là chủ websiteSắp có | · | · |
| CAO | Zone transfer AXFR mở | DNS | DNS-009 | Không cần là chủ websiteSắp có | · | · |
| CAO | DNSSEC hỏng/thuật toán yếu | DNS | DNS-015 | Không cần là chủ websiteSắp có | · | · |
| CAO | Lộ repository Subversion Thư mục làm việc | File bị lộ | EXP-010 | Không cần là chủ website | · | · |
| CAO | .hg/ repo lộ | File & path bị lộ | EXP-011 | Không cần là chủ websiteSắp có | · | · |
| CAO | Lộ docker-compose.yml File | File bị lộ | EXP-013 | Không cần là chủ website | · | · |
| CAO | Lộ appsettings.json File | File bị lộ | EXP-015 | Không cần là chủ website | · | · |
| CAO | Lộ token trong .npmrc File | File bị lộ | EXP-018 | Không cần là chủ website | · | · |
| CAO | Lộ file .htpasswd File | File bị lộ | EXP-030 | Không cần là chủ website | · | · |
| CAO | Lộ thông tin trong .pypirc File | File bị lộ | EXP-032 | Không cần là chủ website | · | · |
| CAO | __NEXT_DATA__/RSC lộ dữ liệu server (PII, token) | JS & framework | JS-011 | Không cần là chủ websiteSắp có | · | · |
| CAO | Next/Vite/Nuxt phiên bản có CVE | JS & framework | JS-018 | Không cần là chủ websiteSắp có | · | · |
| CAO | DANE TLSA cho MX | MAIL-005 | Không cần là chủ websiteSắp có | · | · | |
| CAO | phpMyAdmin | Panel & dịch vụ bị lộ | PNL-001 | Không cần là chủ websiteSắp có | · | · |
| CAO | Adminer | Panel & dịch vụ bị lộ | PNL-002 | Không cần là chủ websiteSắp có | · | · |
| CAO | Spamhaus DBL/ZEN (cần DQS key) | Reputation | REP-002 | Không cần là chủ websiteSắp có | · | · |
| CAO | Script từ domain hết hạn | Reputation | REP-004 | Không cần là chủ websiteSắp có | · | · |
| CAO | URLhaus / ThreatFox | Reputation | REP-005 | Không cần là chủ websiteSắp có | · | · |
| CAO | OpenPhish feed | Reputation | REP-006 | Không cần là chủ websiteSắp có | · | · |
| CAO | NEXT_PUBLIC_/VITE_ var nhạy cảm | Secret phía client | SEC-005 | Không cần là chủ websiteSắp có | · | · |
| CAO | Mapbox secret token sk. | Secret phía client | SEC-014 | Không cần là chủ websiteSắp có | · | · |
| CAO | SendGrid API key | Secret phía client | SEC-016 | Không cần là chủ websiteSắp có | · | · |
| CAO | Twilio SID+key | Secret phía client | SEC-017 | Không cần là chủ websiteSắp có | · | · |
| CAO | Mailgun key | Secret phía client | SEC-018 | Không cần là chủ websiteSắp có | · | · |
| CAO | Shopify token (shpat_/shpca_…) | Secret phía client | SEC-019 | Không cần là chủ websiteSắp có | · | · |
| CAO | Google OAuth client secret GOCSPX- | Secret phía client | SEC-020 | Không cần là chủ websiteSắp có | · | · |
| CAO | Firebase FCM server key (legacy) | Secret phía client | SEC-021 | Không cần là chủ websiteSắp có | · | · |
| CAO | Doppler/Linear/Notion/Postman/npm/PyPI token | Secret phía client | SEC-023 | Không cần là chủ websiteSắp có | · | · |
| CAO | DigitalOcean/Cloudflare/HashiCorp token | Secret phía client | SEC-024 | Không cần là chủ websiteSắp có | · | · |
| CAO | Airtable PAT | Secret phía client | SEC-025 | Không cần là chủ websiteSắp có | · | · |
| CAO | Square/PayPal/Razorpay/Paystack key | Secret phía client | SEC-026 | Không cần là chủ websiteSắp có | · | · |
| CAO | Basic-auth creds trong URL | Secret phía client | SEC-032 | Không cần là chủ websiteSắp có | · | · |
| CAO | CDN bị chiếm (polyfill.io, bootcss…) | Supply chain | SUP-002 | Không cần là chủ websiteSắp có | · | · |
| CAO | Script trên bucket/host dangling | Supply chain | SUP-005 | Không cần là chủ websiteSắp có | · | · |
| CAO | JS library có CVE (retire.js) | Tech / CVE / KEV / EOL | TECH-011 | Không cần là chủ websiteSắp có | · | · |
| CAO | Vite dev server prod → CVE-2025-30208 | Tech / CVE / KEV / EOL | TECH-016 | Không cần là chủ websiteSắp có | · | · |
| CAO | Chưa bắt buộc HTTPS Site không chạy HTTPS, hoặc HTTP thường không chuyển hướng sang HTTPS. Dữ liệu có thể bị đọc hoặc sửa trên Wi‑Fi công cộng. | Truyền tải & TLS | TLS-001 | Không cần là chủ website | · | · |
| CAO | Chứng chỉ TLS không được tin cậy Trình duyệt từ chối chứng chỉ (sai hostname, tự ký hoặc thiếu chuỗi chứng chỉ), nên khách truy cập thấy cảnh báo bảo mật. | Truyền tải & TLS | TLS-003 | Không cần là chủ website | · | · |
| CAO | Cert bị thu hồi (CRL) | Transport & TLS | TLS-007 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | JWT thiếu exp / exp quá dài / thiếu aud | Auth / session / JWT | AUTH-003 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Session cookie flag (test login) | Auth / session / JWT | AUTH-006 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Cookie thiếu cờ bảo mật Cookie thiếu Secure, HttpOnly hoặc SameSite có thể bị đánh cắp qua HTTP, bị script chèn vào đọc được, hoặc bị gửi kèm request từ site khác. | HTTP header | CK-001 | Không cần là chủ website | · | · |
| TRUNG BÌNH | Cookie/JWT đọc được (alg:none, PII, role trong claim) | Cookie | CK-006 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | WP REST user enumeration | CMS | CMS-012 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | WP xmlrpc listMethods | CMS | CMS-013 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Drupal version + EOL + user enum | CMS | CMS-020 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Shopify fingerprint + app secret leak | CMS | CMS-025 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Thiếu bản ghi SPF Không có SPF, mail server nhận không biết server nào được phép gửi email cho domain của bạn, nên dễ bị giả mạo. | DNS & email | DNS-001 | Không cần là chủ website | · | · |
| TRUNG BÌNH | Thiếu DMARC hoặc chưa thực thi Không có policy DMARC thực thi, kẻ tấn công có thể gửi email trông như đến từ domain của bạn. | DNS & email | DNS-002 | Không cần là chủ website | · | · |
| TRUNG BÌNH | NS là open resolver | DNS | DNS-008 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | CA lạ cấp cert (crt.sh) | Domain / CT | DOM-002 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Subdomain nhạy cảm từ CT log (dev/staging/admin) | Domain / CT | DOM-003 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Directory listing | File & path bị lộ | EXP-006 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Lộ web.config File | File bị lộ | EXP-014 | Không cần là chủ website | · | · |
| TRUNG BÌNH | Thiếu hoặc yếu Content-Security-Policy Không có CSP đủ mạnh, bất kỳ script nào bị chèn vào đều có toàn quyền trên trang và phiên đăng nhập của người dùng. | HTTP header | HDR-001 | Không cần là chủ website | · | · |
| TRUNG BÌNH | Thiếu chống clickjacking Site khác có thể nhúng trang của bạn vào khung ẩn và lừa người dùng bấm nút. | HTTP header | HDR-002 | Không cần là chủ website | · | · |
| TRUNG BÌNH | CSP yếu (unsafe-eval, *, data: trong script-src) — logic CSP Evaluator | HTTP header | HDR-005 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Response cache được mà có Set-Cookie | Hành vi HTTP | HTTP-010 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | postMessage không kiểm Origin (static) | Injection / XSS / SSRF | INJ-010 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Nuxt __NUXT__ state leak | JS & framework | JS-012 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | SvelteKit/Remix loader data leak | JS & framework | JS-013 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Next Server Action ID disclosure | JS & framework | JS-016 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Route admin/debug hardcode trong router | JS & framework | JS-021 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | SPF quá rộng/invalid (+all, >10 lookup, ptr) | MAIL-001 | Không cần là chủ websiteSắp có | · | · | |
| TRUNG BÌNH | MX thiếu STARTTLS / cert xấu (cần egress :25) | MAIL-003 | Không cần là chủ websiteSắp có | · | · | |
| TRUNG BÌNH | MX dangling/misconfig | MAIL-007 | Không cần là chủ websiteSắp có | · | · | |
| TRUNG BÌNH | Domain không gửi mail thiếu -all + p=reject | MAIL-008 | Không cần là chủ websiteSắp có | · | · | |
| TRUNG BÌNH | DKIM key yếu (RSA ≤1024) / test mode | MAIL-011 | Không cần là chủ websiteSắp có | · | · | |
| TRUNG BÌNH | Tracker/cookie trước khi consent (EU) | Privacy | PRV-003 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | IP hosting có port/CVE lộ (Shodan InternetDB) | Reputation | REP-007 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | UA cloaking (SEO spam) | Reputation | REP-008 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Google API key AIza… | Secret phía client | SEC-010 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Algolia app+API key | Secret phía client | SEC-012 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | HuggingFace token hf_ | Secret phía client | SEC-022 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Slack webhook URL | Secret phía client | SEC-027 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | JS library có CVE (retire.js) — gộp với TECH-011 | Supply chain | SUP-003 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Script không pin version (@latest, raw github) | Supply chain | SUP-004 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Form login/payment post sang host lạ/HTTP | Supply chain | SUP-008 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Version có CVE (OSV/NVD/GHSA) | Tech / CVE / KEV / EOL | TECH-002 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Phần mềm EOL (endoflife.date) | Tech / CVE / KEV / EOL | TECH-004 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | WordPress core/plugin/theme CVE | Tech / CVE / KEV / EOL | TECH-005 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | TLS 1.0/1.1, cipher yếu | Transport & TLS | TLS-004 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Thiếu HSTS hoặc thời hạn quá ngắn Không có Strict-Transport-Security, kẻ tấn công cùng mạng có thể hạ kết nối xuống HTTP. | Truyền tải & TLS | TLS-005 | Không cần là chủ website | · | · |
| TRUNG BÌNH | Khoá/chữ ký yếu (RSA<2048, SHA-1) | Transport & TLS | TLS-008 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | DH params yếu (Logjam) | Transport & TLS | TLS-009 | Không cần là chủ websiteSắp có | · | · |
| TRUNG BÌNH | Chain thiếu intermediate (browser giấu, API vỡ) | Transport & TLS | TLS-012 | Không cần là chủ websiteSắp có | · | · |
| THẤP | API thiếu security header | API | API-008 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Thiếu header rate-limit | API | API-016 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Vi phạm prefix (__Secure- không Secure, SameSite=None không Secure) | Cookie | CK-003 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Cookie Domain quá rộng (.example.com) | Cookie | CK-004 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Session cookie sống quá lâu (>30 ngày) | Cookie | CK-005 | Không cần là chủ websiteSắp có | · | · |
| THẤP | S3 bucket tồn tại (AccessDenied) | Cloud storage | CLD-002 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Dấu hiệu SSRF metadata (169.254.169.254) | Cloud storage | CLD-010 | Không cần là chủ websiteSắp có | · | · |
| THẤP | WP wp-cron / uploads listing | CMS | CMS-014 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Ghost admin + version | CMS | CMS-024 | Không cần là chủ websiteSắp có | · | · |
| THẤP | WP readme.html core version | CMS | CMS-027 | Không cần là chủ websiteSắp có | · | · |
| THẤP | ACAO * trên API JSON /api/* | CORS | COR-004 | Không cần là chủ websiteSắp có | · | · |
| THẤP | DKIM selector phổ biến | DNS | DNS-003 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Không có bản ghi CAA CA nào cũng có thể cấp chứng chỉ cho domain của bạn. CAA giới hạn việc cấp chứng chỉ cho các CA bạn thực sự dùng. | DNS & email | DNS-004 | Không cần là chủ website | · | · |
| THẤP | NS kém bền (số lượng, cùng /24, lame) | DNS | DNS-010 | Không cần là chủ websiteSắp có | · | · |
| THẤP | IP nội bộ trong DNS công khai | DNS | DNS-016 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Thiếu registrar transfer lock (RDAP) | Domain / CT | DOM-001 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Lộ file .DS_Store File | File bị lộ | EXP-004 | Không cần là chủ website | · | · |
| THẤP | firebase.json / .firebaserc lộ | File & path bị lộ | EXP-019 | Không cần là chủ websiteSắp có | · | · |
| THẤP | vercel.json / netlify.toml lộ | File & path bị lộ | EXP-020 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Thiếu các header bảo mật cơ bản X-Content-Type-Options và Referrer-Policy là cấu hình mặc định đơn giản, giúp chặn MIME sniffing và tránh lộ URL đầy đủ sang site khác. | HTTP header | HDR-003 | Không cần là chủ website | · | · |
| THẤP | Lộ phiên bản server hoặc framework Thông tin phiên bản giúp kẻ tấn công đối chiếu stack của bạn với các lỗ hổng đã biết. | HTTP header | HDR-004 | Không cần là chủ website | · | · |
| THẤP | Header lỗi thời/nguy hiểm (HPKP, X-XSS-Protection≠0) | HTTP header | HDR-009 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Referrer-Policy yếu (unsafe-url) | HTTP header | HDR-010 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Header trùng/xung đột/sai cú pháp | HTTP header | HDR-011 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Header lộ stack (X-AspNet-Version, X-Runtime, IP nội bộ) | HTTP header | HDR-012 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Trang auth thiếu Cache-Control: no-store | HTTP header | HDR-013 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Header không nhất quán giữa các path | HTTP header | HDR-014 | Không cần là chủ websiteSắp có | · | · |
| THẤP | sitemap lộ URL/host không công khai | Hành vi HTTP | HTTP-007 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Trang mặc định/placeholder (nginx welcome, parking) | Hành vi HTTP | HTTP-012 | Không cần là chủ websiteSắp có | · | · |
| THẤP | localhost/IP nội bộ/preview URL trong bundle | JS & framework | JS-020 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Comment lộ TODO/credential/host nội bộ | JS & framework | JS-022 | Không cần là chủ websiteSắp có | · | · |
| THẤP | _buildManifest.js lộ route ẩn | JS & framework | JS-027 | Không cần là chủ websiteSắp có | · | · |
| THẤP | DMARC yếu (pct<100, sp=none, no rua) | MAIL-002 | Không cần là chủ websiteSắp có | · | · | |
| THẤP | MTA-STS / TLS-RPT thiếu/hỏng | MAIL-004 | Không cần là chủ websiteSắp có | · | · | |
| THẤP | Không có link privacy policy | Privacy | PRV-004 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Session replay trên trang form (Hotjar/Clarity) | Privacy | PRV-006 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Source map truy cập công khai Mã nguồn gốc có thể được dựng lại từ các file | Secret phía client | SEC-004 | Không cần là chủ website | · | · |
| THẤP | URL nội bộ/staging trong JS | Secret phía client | SEC-006 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Sentry DSN | Secret phía client | SEC-015 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Chuỗi entropy cao gần keyword credential | Secret phía client | SEC-030 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Script/CSS bên thứ ba không SRI | Supply chain | SUP-001 | Không cần là chủ websiteSắp có | · | · |
| THẤP | SRI yếu (sha1/md5) / thiếu crossorigin | Supply chain | SUP-006 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Link social/GitHub có thể hijack | Supply chain | SUP-007 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Header version mở rộng (X-Runtime, X-Drupal-Cache) | Tech / CVE / KEV / EOL | TECH-013 | Không cần là chủ websiteSắp có | · | · |
| THẤP | <meta generator> lộ version | Tech / CVE / KEV / EOL | TECH-014 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Mixed content | Transport & TLS | TLS-006 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Không forward secrecy / không AEAD (TLS1.2) | Transport & TLS | TLS-011 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Thiếu SCT (CT policy) | Transport & TLS | TLS-013 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Redirect sang host khác trước khi set HSTS | Transport & TLS | TLS-015 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Liệt kê table qua PostgREST OpenAPI | BaaS (Supabase/Firebase) | BAAS-001 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Supabase project + anon key (nền) | BaaS (Supabase/Firebase) | BAAS-010 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Firebase config extract (nền) | BaaS (Supabase/Firebase) | BAAS-021 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Session cookie thiếu prefix __Host- | Cookie | CK-002 | Không cần là chủ websiteSắp có | · | · |
| THẤP | DNSSEC | DNS | DNS-005 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Wildcard DNS | DNS | DNS-014 | Không cần là chủ websiteSắp có | · | · |
| THẤP | CSP chỉ report-only hoặc chỉ trong meta tag | HTTP header | HDR-006 | Không cần là chủ websiteSắp có | · | · |
| THẤP | COOP thiếu | HTTP header | HDR-007 | Không cần là chủ websiteSắp có | · | · |
| THẤP | CORP/COEP không set | HTTP header | HDR-008 | Không cần là chủ websiteSắp có | · | · |
| THẤP | robots.txt lộ path nhạy cảm | Hành vi HTTP | HTTP-006 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Không hỗ trợ HTTP/2; HTTP/3 info | Hành vi HTTP | HTTP-008 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Dấu hiệu request smuggling (passive) | Hành vi HTTP | HTTP-009 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Liệt kê bundle + trích endpoint (jsluice) — nền cho nhiều check | JS & framework | JS-010 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Fingerprint framework + version | JS & framework | JS-017 | Không cần là chủ websiteSắp có | · | · |
| THẤP | BIMI record (info) | MAIL-006 | Không cần là chủ websiteSắp có | · | · | |
| THẤP | security.txt thiếu | Privacy | PRV-001 | Không cần là chủ websiteSắp có | · | · |
| THẤP | security.txt invalid | Privacy | PRV-002 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Google Fonts/3rd-party nhạy cảm EU | Privacy | PRV-005 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Nhận diện công nghệ + version (webappanalyzer) | Tech / CVE / KEV / EOL | TECH-001 | Không cần là chủ websiteSắp có | · | · |
| THẤP | EPSS enrichment (xếp hạng ưu tiên) | Tech / CVE / KEV / EOL | TECH-018 | Không cần là chủ websiteSắp có | · | · |
| THẤP | Không hỗ trợ TLS 1.3 | Transport & TLS | TLS-010 | Không cần là chủ websiteSắp có | · | · |
| THẤP | HSTS thiếu includeSubDomains/preload | Transport & TLS | TLS-014 | Không cần là chủ websiteSắp có | · | · |
| NGHIÊM TRỌNG | Next.js middleware bypass (gộp JS-014) | Access control / IDOR | AC-003 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | LLM proxy endpoint không auth (abuse) | AI / LLM | AI-002 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Key provider lộ qua error | AI / LLM | AI-006 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | MCP server lộ (tools/list, không gọi tool) | AI / LLM | AI-009 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | ChromaDB lộ (metadata) | AI / LLM | AI-012 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Stripe sk_live lộ / webhook không verify sig | API | API-015 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Bảng Supabase đọc được mà không cần đăng nhập Dùng anon key công khai trên site của bạn, chúng tôi đọc được dữ liệu từ các bảng này. Row Level Security đang tắt hoặc có policy cho phép đọc công khai. | Backend (Supabase / Firebase) | BAAS-002 | · | Cần là chủ website | · |
| NGHIÊM TRỌNG | Firebase Realtime Database đọc công khai được Rules của database cho phép đọc mà không cần xác thực, nên ai cũng tải được dữ liệu. | Backend (Supabase / Firebase) | BAAS-004 | · | Cần là chủ website | · |
| NGHIÊM TRỌNG | Supabase table ghi được bằng anon (CVE-2025-48757) | BaaS (Supabase/Firebase) | BAAS-011 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | auth.users lộ qua view/API | BaaS (Supabase/Firebase) | BAAS-012 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | RLS tắt hàng loạt (splinter 0013) | BaaS (Supabase/Firebase) | BAAS-013 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Firestore đọc không auth | BaaS (Supabase/Firebase) | BAAS-022 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Hasura query anon (role permissive) | BaaS (Supabase/Firebase) | BAAS-032 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Firebase RTDB world-readable (GET only) | Cloud storage | CLD-008 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | WP DB backup / repair.php | CMS | CMS-011 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | WP wp-config backup / setup reachable | CMS | CMS-015 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Backup config CMS (wp-config.php~, .bak) | File & path bị lộ | EXP-027 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Hasura/PostGraphile admin mở | GraphQL | GQL-006 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Next.js middleware bypass CVE-2025-29927 (header) | JS & framework | JS-014 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | RSC RCE CVE-2025-55182 (probe không thực thi) | JS & framework | JS-015 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Actuator /heapdump tải được | Panel & dịch vụ bị lộ | PNL-005 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Elasticsearch không auth | Panel & dịch vụ bị lộ | PNL-009 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Docker Engine API lộ | Panel & dịch vụ bị lộ | PNL-010 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Kubelet/K8s API read-only | Panel & dịch vụ bị lộ | PNL-012 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Supabase Studio lộ | Panel & dịch vụ bị lộ | PNL-021 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Jupyter Notebook không auth | Panel & dịch vụ bị lộ | PNL-025 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | Flask/Werkzeug debugger | Panel & dịch vụ bị lộ | PNL-030 | · | Cần là chủ websiteSắp có | · |
| CAO | AI route thiếu rate limit | AI / LLM | AI-003 | · | Cần là chủ websiteSắp có | · |
| CAO | System prompt leakage | AI / LLM | AI-004 | · | Cần là chủ websiteSắp có | · |
| CAO | Client override model/max_tokens | AI / LLM | AI-008 | · | Cần là chủ websiteSắp có | · |
| CAO | Ollama lộ (/api/tags) | AI / LLM | AI-010 | · | Cần là chủ websiteSắp có | · |
| CAO | LM Studio/Open WebUI/vLLM lộ | AI / LLM | AI-011 | · | Cần là chủ websiteSắp có | · |
| CAO | Qdrant lộ | AI / LLM | AI-013 | · | Cần là chủ websiteSắp có | · |
| CAO | Weaviate lộ | AI / LLM | AI-014 | · | Cần là chủ websiteSắp có | · |
| CAO | Output LLM render thành HTML (XSS) | AI / LLM | AI-017 | · | Cần là chủ websiteSắp có | · |
| CAO | Mass assignment / field thừa (role, password_hash) | API | API-005 | · | Cần là chủ websiteSắp có | · |
| CAO | CORS reflect + credentials (API) | API | API-006 | · | Cần là chủ websiteSắp có | · |
| CAO | Endpoint secured trả data khi không auth | API | API-007 | · | Cần là chủ websiteSắp có | · |
| CAO | Actuator/metrics/debug lộ (gộp PNL-004/06) | API | API-011 | · | Cần là chủ websiteSắp có | · |
| CAO | OAuth redirect_uri validation yếu | Auth / session / JWT | AUTH-009 | · | Cần là chủ websiteSắp có | · |
| CAO | Credential mặc định trên panel (1 lần/panel) | Auth / session / JWT | AUTH-010 | · | Cần là chủ websiteSắp có | · |
| CAO | Có thể liệt kê file trong bucket Supabase Ai có key công khai của bạn đều liệt kê được file trong các bucket này, thường làm lộ file người dùng tải lên. | Backend (Supabase / Firebase) | BAAS-003 | · | Cần là chủ website | · |
| CAO | Firebase Storage liệt kê công khai được Rules của Storage cho phép liệt kê file mà không cần xác thực. | Backend (Supabase / Firebase) | BAAS-005 | · | Cần là chủ website | · |
| CAO | Security-definer view bypass RLS | BaaS (Supabase/Firebase) | BAAS-014 | · | Cần là chủ websiteSắp có | · |
| CAO | RPC function anon gọi được | BaaS (Supabase/Firebase) | BAAS-015 | · | Cần là chủ websiteSắp có | · |
| CAO | Appwrite collection public | BaaS (Supabase/Firebase) | BAAS-027 | · | Cần là chủ websiteSắp có | · |
| CAO | PocketBase collection public list | BaaS (Supabase/Firebase) | BAAS-028 | · | Cần là chủ websiteSắp có | · |
| CAO | Hasura introspection bật | BaaS (Supabase/Firebase) | BAAS-031 | · | Cần là chủ websiteSắp có | · |
| CAO | Directus collection public | BaaS (Supabase/Firebase) | BAAS-033 | · | Cần là chủ websiteSắp có | · |
| CAO | Strapi public API over-exposed | BaaS (Supabase/Firebase) | BAAS-034 | · | Cần là chủ websiteSắp có | · |
| CAO | S3 bucket public listing | Cloud storage | CLD-001 | · | Cần là chủ websiteSắp có | · |
| CAO | GCS bucket public listing | Cloud storage | CLD-003 | · | Cần là chủ websiteSắp có | · |
| CAO | Azure Blob container public | Cloud storage | CLD-004 | · | Cần là chủ websiteSắp có | · |
| CAO | DigitalOcean Spaces public | Cloud storage | CLD-005 | · | Cần là chủ websiteSắp có | · |
| CAO | Firebase Storage/Firestore open (GET only) | Cloud storage | CLD-009 | · | Cần là chủ websiteSắp có | · |
| CAO | Subdomain takeover (dangling CNAME) | Cloud storage | CLD-011 | · | Cần là chủ websiteSắp có | · |
| CAO | WP debug.log lộ | CMS | CMS-010 | · | Cần là chủ websiteSắp có | · |
| CAO | Drupal install.php reachable | CMS | CMS-021 | · | Cần là chủ websiteSắp có | · |
| CAO | Installer CMS còn mở (wp/joomla/drupal) | CMS | CMS-026 | · | Cần là chủ websiteSắp có | · |
| CAO | Origin: null được tin + credentials | CORS | COR-002 | · | Cần là chủ websiteSắp có | · |
| CAO | Validate Origin theo prefix/suffix (bypass) | CORS | COR-003 | · | Cần là chủ websiteSắp có | · |
| CAO | Trang debug (Django/Laravel/Next) | File & path bị lộ | EXP-007 | · | Cần là chủ websiteSắp có | · |
| CAO | Core dump lộ | File & path bị lộ | EXP-033 | · | Cần là chủ websiteSắp có | · |
| CAO | Không giới hạn depth/complexity | GraphQL | GQL-005 | · | Cần là chủ websiteSắp có | · |
| CAO | Mutation reachable không auth (báo hiện diện) | GraphQL | GQL-007 | · | Cần là chủ websiteSắp có | · |
| CAO | Reflected XSS (canary, không thực thi) | Injection / XSS / SSRF | INJ-001 | · | Cần là chủ websiteSắp có | · |
| CAO | SQLi indicator (error-based, 1 dấu nháy) | Injection / XSS / SSRF | INJ-004 | · | Cần là chủ websiteSắp có | · |
| CAO | NoSQL injection indicator ($ne) | Injection / XSS / SSRF | INJ-005 | · | Cần là chủ websiteSắp có | · |
| CAO | Path traversal indicator (1 probe) | Injection / XSS / SSRF | INJ-007 | · | Cần là chủ websiteSắp có | · |
| CAO | SSTI indicator ({{7*7}}→49) | Injection / XSS / SSRF | INJ-008 | · | Cần là chủ websiteSắp có | · |
| CAO | Open relay (cần egress :25) | MAIL-009 | · | Cần là chủ websiteSắp có | · | |
| CAO | Spring Boot Actuator (/env, /mappings) | Panel & dịch vụ bị lộ | PNL-004 | · | Cần là chủ websiteSắp có | · |
| CAO | Kubernetes Dashboard | Panel & dịch vụ bị lộ | PNL-011 | · | Cần là chủ websiteSắp có | · |
| CAO | Jenkins | Panel & dịch vụ bị lộ | PNL-013 | · | Cần là chủ websiteSắp có | · |
| CAO | MinIO console | Panel & dịch vụ bị lộ | PNL-017 | · | Cần là chủ websiteSắp có | · |
| CAO | Redis Commander | Panel & dịch vụ bị lộ | PNL-018 | · | Cần là chủ websiteSắp có | · |
| CAO | Apache Solr admin | Panel & dịch vụ bị lộ | PNL-019 | · | Cần là chủ websiteSắp có | · |
| CAO | Apache Airflow | Panel & dịch vụ bị lộ | PNL-020 | · | Cần là chủ websiteSắp có | · |
| CAO | Laravel Telescope | Panel & dịch vụ bị lộ | PNL-027 | · | Cần là chủ websiteSắp có | · |
| CAO | Google Maps key không giới hạn | Secret phía client | SEC-011 | · | Cần là chủ websiteSắp có | · |
| CAO | Algolia key có ACL ghi/admin | Secret phía client | SEC-013 | · | Cần là chủ websiteSắp có | · |
| CAO | Heartbleed/ROBOT/insecure renegotiation | Transport & TLS | TLS-017 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | ID tuần tự/đoán được (dấu hiệu IDOR) | Access control / IDOR | AC-008 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Rate limit login/AI endpoint | Quét chủ động | ACT-005 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | API version cũ/không tài liệu reachable | API | API-002 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Lỗi verbose (stack/DB driver) | API | API-003 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Method tampering / unsafe methods | API | API-004 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Lạm dụng pagination/limit | API | API-009 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Enumeration qua login/reset | Auth / session / JWT | AUTH-004 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | pg_graphql introspection mở cho anon | BaaS (Supabase/Firebase) | BAAS-016 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Realtime anon subscribe được | BaaS (Supabase/Firebase) | BAAS-017 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Edge Function không auth | BaaS (Supabase/Firebase) | BAAS-018 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Supabase signup mở (spraying) | BaaS (Supabase/Firebase) | BAAS-020 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Firebase anonymous auth bật | BaaS (Supabase/Firebase) | BAAS-024 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Firebase Remote Config đọc được | BaaS (Supabase/Firebase) | BAAS-026 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Convex function public | BaaS (Supabase/Firebase) | BAAS-030 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Cloudflare R2 public bucket | Cloud storage | CLD-006 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Swagger/OpenAPI, GraphQL introspection | File & path bị lộ | EXP-005 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Sourcemap .map lộ (full source) | File & path bị lộ | EXP-023 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Introspection bật ở prod | GraphQL | GQL-002 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Field suggestion ("did you mean") | GraphQL | GQL-003 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Batching/aliasing cho phép | GraphQL | GQL-004 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | GraphQL CSRF (GET/form mutation) | GraphQL | GQL-009 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Method nguy hiểm (PUT/DELETE/PROPFIND) | Hành vi HTTP | HTTP-002 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Host header injection | Hành vi HTTP | HTTP-003 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Open redirect qua ?next/url/redirect/returnTo | Hành vi HTTP | HTTP-004 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Lỗi/stack trace lộ (malformed request) | Hành vi HTTP | HTTP-005 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Web cache deception | Hành vi HTTP | HTTP-011 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Open redirect (canary host) | Injection / XSS / SSRF | INJ-002 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Header/host injection | Injection / XSS / SSRF | INJ-006 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Vite dev server shipped to prod (/@vite/client, /@fs/) | JS & framework | JS-025 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Prometheus /metrics | Panel & dịch vụ bị lộ | PNL-006 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Grafana (anon/default) | Panel & dịch vụ bị lộ | PNL-007 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Kibana | Panel & dịch vụ bị lộ | PNL-008 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Portainer | Panel & dịch vụ bị lộ | PNL-014 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Traefik dashboard/API | Panel & dịch vụ bị lộ | PNL-015 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | RabbitMQ management | Panel & dịch vụ bị lộ | PNL-016 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Go pprof/expvar | Panel & dịch vụ bị lộ | PNL-031 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Xác minh key còn sống (whoami an toàn) | Secret phía client | SEC-007 | · | Cần là chủ websiteSắp có | · |
| TRUNG BÌNH | Dep từ package.json/composer.json → OSV | Tech / CVE / KEV / EOL | TECH-019 | · | Cần là chủ websiteSắp có | · |
| THẤP | Joomla admin + registration mở | CMS | CMS-019 | · | Cần là chủ websiteSắp có | · |
| THẤP | Preflight quá dễ dãi (ACAM PUT/DELETE) | CORS | COR-005 | · | Cần là chủ websiteSắp có | · |
| THẤP | next/nuxt/vite config lộ | File & path bị lộ | EXP-022 | · | Cần là chủ websiteSắp có | · |
| THẤP | TRACE/TRACK bật | Hành vi HTTP | HTTP-001 | · | Cần là chủ websiteSắp có | · |
| THẤP | Phát hiện OpenAPI/Swagger + inventory | API | API-001 | · | Cần là chủ websiteSắp có | · |
| THẤP | Phát hiện endpoint GraphQL | GraphQL | GQL-001 | · | Cần là chủ websiteSắp có | · |
| THẤP | Thiếu Clear-Site-Data khi logout | HTTP header | HDR-015 | · | Cần là chủ websiteSắp có | · |
| NGHIÊM TRỌNG | BOLA/IDOR (2 tài khoản test) | Access control / IDOR | AC-001 | · | · | Trả phíSắp có |
| NGHIÊM TRỌNG | Role escalation qua mass assignment (no-op) | Access control / IDOR | AC-009 | · | · | Trả phíSắp có |
| NGHIÊM TRỌNG | JWT alg:none / alg-confusion (token của chủ site) | Auth / session / JWT | AUTH-001 | · | · | Trả phíSắp có |
| NGHIÊM TRỌNG | SSRF qua url/webhook param (OOB) | Injection / XSS / SSRF | INJ-003 | · | · | Trả phíSắp có |
| CAO | Broken function-level auth (user → admin route) | Access control / IDOR | AC-002 | · | · | Trả phíSắp có |
| CAO | Quét có đăng nhập + IDOR | Quét chủ động | ACT-004 | · | · | Trả phíSắp có |
| CAO | Excessive agency (read-only probe) | AI / LLM | AI-016 | · | · | Trả phíSắp có |
| CAO | JWT HS256 secret yếu (offline) | Auth / session / JWT | AUTH-002 | · | · | Trả phíSắp có |
| CAO | Reset token yếu (dự đoán/trong response) | Auth / session / JWT | AUTH-005 | · | · | Trả phíSắp có |
| CAO | Flow nhạy cảm thiếu anti-automation | Business logic | BIZ-001 | · | · | Trả phíSắp có |
| CAO | Coupon/price/quantity tampering (no-op) | Business logic | BIZ-002 | · | · | Trả phíSắp có |
| CAO | Bypass plan/feature-gate | Business logic | BIZ-003 | · | · | Trả phíSắp có |
| CAO | Race condition redeem (2 request) | Business logic | BIZ-004 | · | · | Trả phíSắp có |
| CAO | AI agent dò logic nghiệp vụ | Business logic | BIZ-006 | · | · | Trả phíSắp có |
| CAO | A record trỏ IP cloud có thể mất quyền | Domain / CT | DOM-005 | · | · | Trả phíSắp có |
| TRUNG BÌNH | Session không huỷ khi logout | Auth / session / JWT | AUTH-007 | · | · | Trả phíSắp có |
| TRUNG BÌNH | Domain lookalike/typosquat (dnstwist) | Domain / CT | DOM-004 | · | · | Trả phíSắp có |
| TRUNG BÌNH | Origin truy cập trực tiếp, bypass CDN/WAF | Hành vi HTTP | HTTP-013 | · | · | Trả phíSắp có |