Рейтинг инновационных исследований в области веб-безопасности возглавляют атаки, использующие неоднозначности в Apache HTTP Server (Confusion Attacks). Они позволяют обходить защиту и получать несанкционированный доступ. Замысловатые манипуляции с кодировками также попали в топ благодаря своей неожиданной эффективности в реальных эксплойтах.
Развитие техник HTTP Request Smuggling, таких как TE.0, позволяет обходить защиту, если фронтенд и бэкенд по-разному обрабатывают заголовки Transfer-Encoding. Эти атаки могут приводить к серьезным последствиям, например, обходу Google IAP.
Уязвимости в библиотеках HTML-санитизации, таких как DOMPurify, продолжают оставаться актуальными, требуя глубокого понимания внутреннего устройства парсинга HTML в браузерах. Также в список попала новая вариация Clickjacking, DoubleClickjacking, обходящая известные меры защиты, и уязвимость в PDF.js, позволяющая выполнять произвольный JavaScript.
В завершение списка представлены атаки, использующие неверные пути OAuth для захвата учетных записей, техника Web Cache Deception для получения контроля над кэшем, и Hijacking OAuth flows via Cookie Tossing, позволяющая проводить атаки с контролируемого поддомена.
Изображение носит иллюстративный характер
Развитие техник HTTP Request Smuggling, таких как TE.0, позволяет обходить защиту, если фронтенд и бэкенд по-разному обрабатывают заголовки Transfer-Encoding. Эти атаки могут приводить к серьезным последствиям, например, обходу Google IAP.
Уязвимости в библиотеках HTML-санитизации, таких как DOMPurify, продолжают оставаться актуальными, требуя глубокого понимания внутреннего устройства парсинга HTML в браузерах. Также в список попала новая вариация Clickjacking, DoubleClickjacking, обходящая известные меры защиты, и уязвимость в PDF.js, позволяющая выполнять произвольный JavaScript.
В завершение списка представлены атаки, использующие неверные пути OAuth для захвата учетных записей, техника Web Cache Deception для получения контроля над кэшем, и Hijacking OAuth flows via Cookie Tossing, позволяющая проводить атаки с контролируемого поддомена.