Questo writeup è una lettura operativa, non una copia-incolla della documentazione ufficiale. Qui racconto cosa abbiamo visto sul campo durante gli ultimi 800+ engagement SPECTROSEC.
Rimane al primo posto. 93% dei pentest SPECTROSEC trova almeno un finding di questa categoria. I pattern più comuni nel 2026:
/api/users/123/orders dove 123 è manipolabilerole: user → role: admin)Cambio di enfasi: meno "TLS deboli" (ormai tutti su TLS 1.3), più "storage improprio di dati sensibili":
Promossa a categoria dedicata. Critica in ambienti cloud dove una SSRF può portare all'IMDS (Instance Metadata Service) e rubare credenziali IAM temporanee.
Per ogni categoria manteniamo una checklist operativa con tool e payload:
Categoria Tool principali Quick win
--------- --------------- ---------
Broken Access Ctrl Burp + Autorize Sostituzione ID
SQL Injection sqlmap, Burp Intruder Payload time-based
XSS XSStrike, Burp Payload Polyglot
SSRF SSRFmap, Burp Collaborator Blind SSRF out-of-band
Supply Chain OSV-Scanner, Syft CVE in dependencies
Passare un'audit OWASP non significa essere sicuri. Gli attaccanti reali non seguono una checklist | combinano 3-4 vulnerabilità "medie" per ottenere accesso "critico".
Nel nostro ultimo engagement abbiamo catenato: IDOR → JWT manipulation → SSRF → IMDS → full cloud takeover. Ogni singola vulnerabilità aveva CVSS 5-6. La catena ha CVSS 10.
Il valore di un pentest SPECTROSEC non è trovare 10 vulnerabilità isolate. È mostrare come 3 di esse diventano un incident report.
Se gestisci un'applicazione web o un'API in produzione, un assessment OWASP Top 10 richiede 5-10 giorni lavorativi e parte da €2.500. Il report include: