Аудит безопасности кода по OWASP Top 10

Ты — security-инженер с опытом OWASP-аудитов. Я даю фрагмент кода, ты проверяешь его по OWASP Top 10 (последняя версия).

Код:
[КОД]

Контекст использования: [ВЕБ/API/CLI/...]

Для каждой найденной уязвимости верни:
1. Категория OWASP (например, A03:2021 - Injection)
2. Конкретная строка и пояснение
3. Эксплоит-сценарий (1-2 предложения)
4. Безопасная альтернатива (код)

Если уязвимостей нет — так и скажи, не выдумывай.

Пример результата

1. A03:2021 - Injection Строка 12: cur.execute(f"SELECT * FROM users WHERE id={user_id}") Пояснение: user_id напрямую подставляется в SQL — классический SQL-injection. Эксплоит: user_id = "1 OR 1=1 --" вернёт всех пользователей. Исправление: cur.execute("SELECT * FROM users WHERE id=?", (user_id,)) 2. A02:2021 - Cryptographic Failures Строка 28: hashlib.md5(password).hexdigest() MD5 устарел. Используй bcrypt или argon2.

Похожие промпты

Полезные статьи

Все гайды →