{"id":4814,"date":"2026-08-11T20:59:13","date_gmt":"2026-08-11T18:59:13","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4814"},"modified":"2026-08-11T22:46:59","modified_gmt":"2026-08-11T20:46:59","slug":"owasp-top-10","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/owasp-top-10","title":{"rendered":"OWASP Top 10"},"content":{"rendered":"<p><strong>OWASP Top 10<\/strong> to lista dziesi\u0119ciu najpowa\u017cniejszych rodzaj\u00f3w zagro\u017ce\u0144 bezpiecze\u0144stwa aplikacji webowych. Publikuje j\u0105 fundacja OWASP (Open Worldwide Application Security Project). Lista zbiera pokrewne s\u0142abo\u015bci w dziesi\u0119\u0107 kategorii i uk\u0142ada je wed\u0142ug tego, jak cz\u0119sto wyst\u0119puj\u0105 i jak gro\u017ane s\u0105 skutki. Ka\u017cda kategoria jest powi\u0105zana z identyfikatorami <code>CWE<\/code> \u2014 czyli ze s\u0142ownikiem typ\u00f3w b\u0142\u0119d\u00f3w w oprogramowaniu. Dla programist\u00f3w, pentester\u00f3w i audytor\u00f3w to wsp\u00f3lny punkt odniesienia: od czego zacz\u0105\u0107, \u017ceby aplikacja by\u0142a bezpieczna. Najnowsze wydania to <strong>OWASP Top 10:2021<\/strong> oraz nowsza edycja <strong>OWASP Top 10:2025<\/strong>, ale to wersja z 2021 roku jest nadal najcz\u0119\u015bciej cytowana.<\/p>\n<h2>Czym jest OWASP?<\/h2>\n<p>OWASP to organizacja non-profit, dzia\u0142aj\u0105ca od 2001 roku i zajmuj\u0105ca si\u0119 bezpiecze\u0144stwem oprogramowania. Prowadzi otwarte, darmowe projekty \u2014 mi\u0119dzy innymi sam\u0105 list\u0119 Top 10, standard test\u00f3w ASVS, zbi\u00f3r praktycznych poradnik\u00f3w OWASP Cheat Sheet Series oraz skaner OWASP ZAP. Tworzy je mi\u0119dzynarodowa spo\u0142eczno\u015b\u0107 badaczy, programist\u00f3w i specjalist\u00f3w od bezpiecze\u0144stwa aplikacji.<\/p>\n<p>Warto zaznaczy\u0107, czym Top 10 <em>nie<\/em> jest. To nie jest norma zgodno\u015bci (compliance), kt\u00f3r\u0105 trzeba spe\u0142ni\u0107, ani pe\u0142na lista wszystkich mo\u017cliwych podatno\u015bci. To <strong>dokument u\u015bwiadamiaj\u0105cy<\/strong>: pokazuje najcz\u0119stsze i najgro\u017aniejsze typy b\u0142\u0119d\u00f3w. Traktuj go jako minimum, od kt\u00f3rego si\u0119 zaczyna, a nie jako komplet test\u00f3w do odhaczenia.<\/p>\n<h2>Jak powstaje lista OWASP Top 10?<\/h2>\n<p>Lista nie jest uk\u0142adana z g\u0142owy. Powstaje na podstawie realnych danych z test\u00f3w oraz ankiety w\u015br\u00f3d specjalist\u00f3w. W edycji 2021 wygl\u0105da\u0142o to tak:<\/p>\n<ul>\n<li><strong>Osiem z dziesi\u0119ciu kategorii<\/strong> wybrano na podstawie zebranych danych, a <strong>dwie<\/strong> \u2014 na podstawie ankiety spo\u0142eczno\u015bci. Ankieta jest potrzebna, bo wy\u0142apuje zagro\u017cenia, kt\u00f3rych automatyczne skanery jeszcze nie wykrywaj\u0105 na du\u017c\u0105 skal\u0119.<\/li>\n<li>Dane pochodzi\u0142y z <strong>ponad 500 000 aplikacji<\/strong> przekazanych przez kilkana\u015bcie firm. Analiza obj\u0119\u0142a oko\u0142o <strong>400 typ\u00f3w b\u0142\u0119d\u00f3w (CWE)<\/strong> \u2014 dla por\u00f3wnania w 2017 roku by\u0142o ich 30.<\/li>\n<li>Do u\u0142o\u017cenia kolejno\u015bci u\u017cyto <strong>wsp\u00f3\u0142czynnika wyst\u0119powania<\/strong> (incidence rate), czyli odsetka aplikacji, w kt\u00f3rych dana s\u0142abo\u015b\u0107 pojawi\u0142a si\u0119 cho\u0107 raz. Liczy si\u0119 wi\u0119c, w ilu aplikacjach problem w og\u00f3le wyst\u0105pi\u0142, a nie ile razy \u0142\u0105cznie go zg\u0142oszono. Dzi\u0119ki temu masowo raportowane b\u0142\u0119dy (jak XSS) nie zaburzaj\u0105 obrazu.<\/li>\n<li>Ocen\u0119 tego, jak \u0142atwo wykorzysta\u0107 b\u0142\u0105d (exploitability) i jak gro\u017ane s\u0105 jego skutki (impact), wyliczono ze znormalizowanych punktacji <code>CVSS<\/code> \u2014 standardowej skali oceny podatno\u015bci.<\/li>\n<\/ul>\n<p>OWASP od\u015bwie\u017ca list\u0119 co kilka lat (zwykle co 2-3 lata), \u017ceby nad\u0105\u017ca\u0107 za nowymi technologiami i sposobami ataku.<\/p>\n<h2>Lista OWASP Top 10:2021 (A01-A10)<\/h2>\n<ol>\n<li><strong>A01:2021 &#8211; Broken Access Control<\/strong> (Z\u0142amana kontrola dost\u0119pu) \u2014 aplikacja \u017ale pilnuje uprawnie\u0144, wi\u0119c u\u017cytkownik mo\u017ce zrobi\u0107 wi\u0119cej, ni\u017c powinien. Przyk\u0142adem jest si\u0119gni\u0119cie do cudzych danych przez podmian\u0119 identyfikatora w adresie (tzw. IDOR). Ta kategoria awansowa\u0142a z pi\u0105tego miejsca w 2017 r. na pierwsze.<\/li>\n<li><strong>A02:2021 &#8211; Cryptographic Failures<\/strong> (B\u0142\u0119dy kryptograficzne) \u2014 wcze\u015bniej nazywane \u201eujawnieniem danych wra\u017cliwych\u201d. Chodzi o brak szyfrowania albo jego b\u0142\u0119dne u\u017cycie, przez co wra\u017cliwe dane wyciekaj\u0105: s\u0142abe algorytmy, przesy\u0142anie danych otwartym tekstem, \u017ale przechowywane klucze.<\/li>\n<li><strong>A03:2021 &#8211; Injection<\/strong> (Wstrzykni\u0119cia) \u2014 aplikacja bierze dane od u\u017cytkownika i przez nieuwag\u0119 traktuje je jak w\u0142asn\u0105 komend\u0119. Tak dzia\u0142aj\u0105 <code>SQL<\/code>\/<code>NoSQL<\/code> injection czy wstrzykni\u0119cie polece\u0144 systemu. Do tej kategorii trafi\u0142 te\u017c <strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/xss-cross-site-scripting\">Cross-Site Scripting<\/a> (XSS)<\/strong>. Spad\u0142a z pierwszego na trzecie miejsce.<\/li>\n<li><strong>A04:2021 &#8211; Insecure Design<\/strong> (Niebezpieczny projekt) \u2014 nowa kategoria. Dotyczy b\u0142\u0119d\u00f3w w samym pomy\u015ble na aplikacj\u0119, jeszcze przed napisaniem kodu. Takich wad nie da si\u0119 \u201eza\u0142ata\u0107\u201d poprawk\u0105 \u2014 trzeba przemy\u015ble\u0107 projekt od nowa (np. modelowanie zagro\u017ce\u0144).<\/li>\n<li><strong>A05:2021 &#8211; Security Misconfiguration<\/strong> (B\u0142\u0119dna konfiguracja zabezpiecze\u0144) \u2014 domy\u015blne has\u0142a, w\u0142\u0105czone zb\u0119dne us\u0142ugi, nadmiarowe uprawnienia, brak utwardzenia systemu. Wch\u0142on\u0119\u0142a dawn\u0105 kategori\u0119 XXE (XML External Entities).<\/li>\n<li><strong>A06:2021 &#8211; Vulnerable and Outdated Components<\/strong> (Podatne i nieaktualne komponenty) \u2014 u\u017cywanie bibliotek i zale\u017cno\u015bci ze znanymi dziurami. Wi\u0105\u017ce si\u0119 z badaniem sk\u0142adu oprogramowania (<code>SCA<\/code>) i pilnowaniem \u0142a\u0144cucha dostaw.<\/li>\n<li><strong>A07:2021 &#8211; Identification and Authentication Failures<\/strong> (B\u0142\u0119dy uwierzytelniania) \u2014 wcze\u015bniej \u201eBroken Authentication\u201d. S\u0142abe has\u0142a, podatno\u015b\u0107 na automatyczne podstawianie wykradzionych hase\u0142 (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/credential-stuffing\">credential stuffing<\/a>), b\u0142\u0119dy w obs\u0142udze sesji, brak logowania dwusk\u0142adnikowego (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/multi-factor-authentication-mfa\">MFA<\/a>).<\/li>\n<li><strong>A08:2021 &#8211; Software and Data Integrity Failures<\/strong> (B\u0142\u0119dy integralno\u015bci oprogramowania i danych) \u2014 nowa kategoria o \u0142a\u0144cuchu dostaw i automatycznych potokach budowania (CI\/CD). Chodzi o brak sprawdzania, czy aktualizacja lub zale\u017cno\u015b\u0107 nie zosta\u0142a po drodze podmieniona.<\/li>\n<li><strong>A09:2021 &#8211; Security Logging and Monitoring Failures<\/strong> (B\u0142\u0119dy rejestrowania i monitorowania) \u2014 aplikacja nie zapisuje zdarze\u0144 albo nie alarmuje, wi\u0119c atak przechodzi niezauwa\u017cony, a po fakcie nie da si\u0119 go zbada\u0107.<\/li>\n<li><strong>A10:2021 &#8211; Server-Side Request Forgery (SSRF)<\/strong> \u2014 nowa kategoria, najwy\u017cej oceniona w ankiecie. Atakuj\u0105cy nak\u0142ania serwer, \u017ceby ten sam pobra\u0142 zas\u00f3b z podstawionego adresu. W ten spos\u00f3b mo\u017cna si\u0119gn\u0105\u0107 do us\u0142ug wewn\u0119trznych albo do danych chmury, do kt\u00f3rych z zewn\u0105trz nie ma dost\u0119pu.<\/li>\n<\/ol>\n<h2>Co zmieni\u0142o si\u0119 wzgl\u0119dem OWASP Top 10:2017?<\/h2>\n<ul>\n<li><strong>Trzy nowe kategorie:<\/strong> A04 Insecure Design, A08 Software and Data Integrity Failures oraz A10 Server-Side Request Forgery (SSRF).<\/li>\n<li><strong>Zmiany nazw i zakresu:<\/strong> A02 (dawne Sensitive Data Exposure \u2192 Cryptographic Failures) i A07 (dawne Broken Authentication \u2192 Identification and Authentication Failures).<\/li>\n<li><strong>Po\u0142\u0105czenie kategorii:<\/strong> XSS trafi\u0142 do Injection (A03), a XXE do Security Misconfiguration (A05).<\/li>\n<li><strong>Nowa kolejno\u015b\u0107:<\/strong> Broken Access Control awansowa\u0142o na A01, a Injection spad\u0142o na A03.<\/li>\n<\/ul>\n<h2>Czym OWASP Top 10 r\u00f3\u017cni si\u0119 od OWASP API Security Top 10?<\/h2>\n<p>OWASP Top 10 dotyczy aplikacji webowych w og\u00f3le. Obok niej istnieje osobna lista <strong>OWASP <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/api-security\">API Security<\/a> Top 10<\/strong> (najnowsza edycja z 2023 roku), kt\u00f3ra skupia si\u0119 wy\u0142\u0105cznie na interfejsach <code>API<\/code> \u2014 czyli na tym, jak aplikacje rozmawiaj\u0105 ze sob\u0105 w tle. Listy cz\u0119\u015bciowo si\u0119 pokrywaj\u0105 (kontrola dost\u0119pu, b\u0142\u0119dna konfiguracja, SSRF), ale lista <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/api\">API<\/a> k\u0142adzie nacisk na b\u0142\u0119dy w logice uprawnie\u0144 i nadu\u017cycia proces\u00f3w biznesowych, kt\u00f3rych zwyk\u0142e skanery s\u0142abo wychwytuj\u0105. Kategorie z edycji 2023:<\/p>\n<ul>\n<li><strong>API1:2023<\/strong> Broken Object Level Authorization (BOLA)<\/li>\n<li><strong>API2:2023<\/strong> Broken Authentication<\/li>\n<li><strong>API3:2023<\/strong> Broken Object Property Level Authorization<\/li>\n<li><strong>API4:2023<\/strong> Unrestricted Resource Consumption<\/li>\n<li><strong>API5:2023<\/strong> Broken Function Level Authorization<\/li>\n<li><strong>API6:2023<\/strong> Unrestricted Access to Sensitive Business Flows<\/li>\n<li><strong>API7:2023<\/strong> Server Side Request Forgery<\/li>\n<li><strong>API8:2023<\/strong> Security Misconfiguration<\/li>\n<li><strong>API9:2023<\/strong> Improper <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/inventory\">Inventory<\/a> Management<\/li>\n<li><strong>API10:2023<\/strong> Unsafe Consumption of APIs<\/li>\n<\/ul>\n<p>Opr\u00f3cz tych dw\u00f3ch OWASP prowadzi te\u017c pokrewne listy \u2014 m.in. dla aplikacji mobilnych oraz dla aplikacji opartych na du\u017cych modelach j\u0119zykowych (LLM).<\/p>\n<h2>Dlaczego OWASP Top 10 jest istotny dla monitorowania i wykrywania?<\/h2>\n<p>OWASP Top 10 opisuje b\u0142\u0119dy na poziomie kodu i konfiguracji. Ale wiele z nich zostawia \u015blady widoczne w ruchu sieciowym i logach. To sprawia, \u017ce lista jest przydatna nie tylko dla programist\u00f3w, lecz tak\u017ce dla zespo\u0142\u00f3w zajmuj\u0105cych si\u0119 obron\u0105 sieci \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a> (centrum monitorowania bezpiecze\u0144stwa) czy <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a> (wykrywanie zagro\u017ce\u0144 w ruchu sieciowym):<\/p>\n<ul>\n<li><strong>A01\/A07 (kontrola dost\u0119pu i uwierzytelnianie):<\/strong> nietypowe wzorce \u017c\u0105da\u0144, podstawianie kolejnych identyfikator\u00f3w (IDOR) czy nag\u0142e serie nieudanych logowa\u0144 s\u0105 widoczne w logach aplikacji i w ruchu <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTP<\/a>.<\/li>\n<li><strong>A03 (Injection):<\/strong> charakterystyczne dane w zapytaniach wychwytuj\u0105 zapory aplikacyjne (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/waf-web-application-firewall\">WAF<\/a>) i analiza warstwy aplikacji. Bez log\u00f3w (czyli bez A09) takie ataki bywaj\u0105 po fakcie niewidoczne.<\/li>\n<li><strong>A09 (rejestrowanie i monitorowanie):<\/strong> kategoria wprost o telemetrii. S\u0142abe logowanie i brak alert\u00f3w wyd\u0142u\u017caj\u0105 czas, przez jaki atakuj\u0105cy pozostaje niezauwa\u017cony, i utrudniaj\u0105 p\u00f3\u017aniejsze \u015bledztwo.<\/li>\n<li><strong>A10 (SSRF):<\/strong> objawia si\u0119 dziwnym ruchem wychodz\u0105cym z serwera \u2014 do adres\u00f3w wewn\u0119trznych, do us\u0142ugi metadanych chmury (np. <code>169.254.169.254<\/code>) albo do nieoczekiwanych domen. To sygna\u0142, kt\u00f3ry wida\u0107 w monitoringu przep\u0142yw\u00f3w i zapyta\u0144 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a>.<\/li>\n<li><strong>A06 (podatne komponenty):<\/strong> pr\u00f3by wykorzystania znanych dziur (<code>CVE<\/code>) zostawiaj\u0105 rozpoznawalne \u015blady skanowania. Zestawienie ich ze spisem u\u017cywanych bibliotek przyspiesza reakcj\u0119.<\/li>\n<\/ul>\n<p>Lista nie zast\u0119puje pe\u0142nego programu bezpiecze\u0144stwa, ale daje programistom i obro\u0144com wsp\u00f3lny j\u0119zyk: te same kategorie pomagaj\u0105 ustawi\u0107 priorytety zar\u00f3wno przy naprawie kodu, jak i przy regu\u0142ach wykrywania w sieci.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/podatnosc-idor-jak-wykryc-atak-na-aplikacje-webowe-przez-analize-ruchu-http\">Podatno\u015b\u0107 IDOR \u2013 jak wykry\u0107 atak na aplikacje webowe przez analiz\u0119 ruchu HTTP<\/a> \u2014 IDOR to przyk\u0142ad b\u0142\u0119dnej autoryzacji, czyli jednego z ryzyk wskazywanych w OWASP Top 10.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/jak-skutecznie-wdrozyc-proces-modelowania-zagrozen\">Jak skutecznie wdro\u017cy\u0107 proces modelowania zagro\u017ce\u0144?<\/a> \u2014 Modelowanie zagro\u017ce\u0144 pomaga ogranicza\u0107 ryzyka, kt\u00f3re p\u00f3\u017aniej trafiaj\u0105 do OWASP Top 10.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/bledy-konfiguracji-sieci-jak-ich-uniknac-i-poprawic-konfiguracje-routera\">B\u0142\u0119dy konfiguracji sieci \u2013 jak unika\u0107 network configuration errors i poprawi\u0107 konfiguracj\u0119 routera<\/a> \u2014 B\u0142\u0119dy konfiguracji zwi\u0119kszaj\u0105 ryzyko luk, kt\u00f3re mog\u0105 prowadzi\u0107 do narusze\u0144 z OWASP Top 10.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4814","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"OWASP Top 10","ikona":"","krotki_opis":"Publikowana przez fundacj\u0119 OWASP lista dziesi\u0119ciu najpowa\u017cniejszych rodzaj\u00f3w zagro\u017ce\u0144 aplikacji webowych, u\u017cywana jako punkt odniesienia w bezpiecznym programowaniu i testach."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4814","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4814"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}