OWASP Top 10

Broken Access Control

접근 제어는 사용자가 허가된 범위를 벗어나 행동하지 못하도록 정책을 시행합니다. 접근 제어가 실패하면 인가되지 않은 정보 유출, 데이터 변조 또는 삭제, 권한 밖의 비즈니스 기능 수행 등이 발생할 수 있습니다. 2025년 버전에서는 기존 A10이었던 서버 측 요청 위조(SSRF)가 이 항목에 통합되어, 서버가 사용자 입력에 기반한 내부 리소스 요청을 적절히 제어하지 못하는 문제까지 포괄합니다. 2021년에 이어 2025년에도 가장 심각한 웹 애플리케이션 보안 위험으로 선정되었습니다.

Software Supply Chain Failures

2025년에 새롭게 확대된 항목으로, 2021년의 A06 "취약하고 지원이 종료된 컴포넌트"를 대폭 확장하여 소프트웨어 개발 수명주기 전체를 포괄합니다. 소프트웨어의 빌드, 배포, 업데이트 과정에서 발생하는 모든 위험을 다루며, 서드파티 코드, 도구, 종속성의 보안 문제를 포함합니다. CI/CD 파이프라인 침해, 악성 패키지 유입, 오래되거나 패치되지 않은 컴포넌트 사용 등이 해당됩니다. SolarWinds, Log4Shell 등 대규모 공급망 공격의 교훈이 반영된 항목입니다.

Cryptographic Failures

2021년 A02에서 A04로 이동한 항목으로, 암호화의 부재, 불충분한 강도의 암호화, 암호화 키의 유출 등과 관련된 실패를 다룹니다. 전송 중이거나 저장 중인 민감 데이터의 보호가 핵심이며, 비밀번호, 신용카드 번호, 건강 기록, 개인 정보 등이 특별 보호 대상입니다. 암호화 관련 실패는 민감 데이터의 노출로 직접 이어지므로 여전히 높은 위험도를 유지합니다.

Injection

2021년 A03에서 A05로 이동한 항목으로, SQL, NoSQL, OS 명령, ORM, LDAP 인젝션 및 크로스 사이트 스크립팅(XSS) 등 다양한 인젝션 취약점을 포함합니다. 사용자가 제공한 데이터가 적절한 검증, 필터링, 이스케이프 없이 인터프리터로 전달될 때 발생합니다. 현대적인 프레임워크와 ORM의 보편화로 순위가 하락했지만, 여전히 높은 위험도를 가진 핵심 취약점입니다.

Authentication Failures

2021년 A07 "식별 및 인증 실패"에서 이름이 변경된 항목으로, 공격자가 시스템을 속여 유효하지 않은 사용자를 정당한 사용자로 인식하게 만드는 문제를 다룹니다. 자동화된 공격(크리덴셜 스터핑, 무차별 대입 등)을 허용하거나, 기본 또는 약한 비밀번호를 허용하거나, 취약한 비밀번호 복구 프로세스를 사용하는 경우 해당됩니다. 패스키, FIDO2 등 최신 인증 기술의 도입이 권장됩니다.