أهم 10 مخاطر في OWASP، مشروحة ببساطة (2026)

قائمة OWASP Top 10 هي قائمة بُنيت مجتمعيًا لأخطر مخاطر أمن تطبيقات الويب. وهي أفضل نقطة انطلاق منفردة لفهم المواضع التي تنهار فيها تطبيقات الويب فعليًا — ومعرفة أساسية لأي مختبِر اختراق أو مطوّر.

فيما يلي كل فئة بكلمات واضحة، مع الخلاصة الدفاعية لكل منها.

A01 — ضعف التحكم في الوصول (Broken Access Control)

يستطيع المستخدمون فعل أو رؤية ما لا يحقّ لهم (الاطّلاع على بيانات مستخدم آخر، أو الوصول إلى وظائف الإدارة). الدفاع: فرض التحقّق من الصلاحيات على الخادم لكل طلب؛ والمنع افتراضيًا.

A02 — إخفاقات التشفير (Cryptographic Failures)

تُكشف البيانات الحسّاسة لأنها لم تُشفَّر بشكل صحيح (أو لم تُشفَّر إطلاقًا). الدفاع: تشفير البيانات أثناء النقل (TLS) وفي حالة السكون؛ وعدم تصميم تشفير خاص أبدًا؛ وعدم تخزين أسرار لست بحاجة إليها.

A03 — الحقن (Injection)

تُفسَّر المدخلات غير الموثوقة كأمر — حقن SQL الكلاسيكي، إضافة إلى حقن نظام التشغيل وغيره. الدفاع: الاستعلامات ذات المعاملات (parameterized queries)، والتحقق من المدخلات، وواجهات برمجة آمنة تفصل الكود عن البيانات.

A04 — التصميم غير الآمن (Insecure Design)

الخلل في التصميم لا في خطأ برمجي — غياب تحديد معدّل الطلبات، وضعف سير العمل. الدفاع: نمذجة التهديدات مبكرًا؛ وبناء متطلبات الأمن منذ البداية.

A05 — سوء إعداد الأمن (Security Misconfiguration)

كلمات مرور افتراضية، ورسائل خطأ مفصّلة، وميزات غير ضرورية تُركت مفعّلة. الدفاع: التحصين افتراضيًا، وإزالة ما لا تستخدمه، وأتمتة الإعداد.

A06 — المكوّنات المصابة والقديمة (Vulnerable and Outdated Components)

استخدام مكتبات بها ثغرات معروفة. الدفاع: جرد اعتمادياتك، والترقيع فورًا، ومتابعة النشرات الأمنية (تهمّ ثغرات CVE هنا).

A07 — إخفاقات التعريف والمصادقة (Identification and Authentication Failures)

عمليات دخول ضعيفة — حشو بيانات الاعتماد، وسوء إدارة الجلسات. الدفاع: المصادقة متعددة العوامل (MFA)، وسياسات كلمات مرور قوية، وإدارة آمنة للجلسات.

A08 — إخفاقات سلامة البرمجيات والبيانات (Software and Data Integrity Failures)

الثقة بكود أو تحديثات قد تكون قد جرى العبث بها (مخاطر سلسلة التوريد). الدفاع: التحقق من التواقيع، وتأمين خط أنابيب CI/CD.

A09 — إخفاقات تسجيل الأحداث والمراقبة (Security Logging and Monitoring Failures)

لا يمكنك الاستجابة لما لا تراه. الدفاع: تسجيل الأحداث ذات الصلة الأمنية، ومراقبتها، والتنبيه عند الشذوذ.

A10 — تزوير الطلب من جانب الخادم (SSRF)

يُخدَع الخادم فيرسل طلبات إلى وجهات لا ينبغي له مخاطبتها. الدفاع: التحقق من الوجهات الصادرة وإدراجها في قائمة سماح؛ وتجزئة الشبكات.

كيف يستخدمها المختبِرون

قائمة Top 10 هي عقلية قائمة تحقّق، لا وصفة. يربط المختبِر كل فئة بالميزات الحقيقية للهدف ويسأل: «هل يمكن أن ينكسر هذا هنا؟» وتوسّع الاختبارات الحديثة المدعومة بالذكاء الاصطناعي هذا التساؤل بسرعة عبر التطبيق كاملًا — ثم تتحقق مما هو قابل للاستغلال فعليًا بدلًا من مجرد الإشارة إلى الاحتمالات.

تعلّمها كما ينبغي

كل فئة تستحق تدريبًا عمليًا. تغطّي أكاديمية Pentevo المجانية أمن تطبيقات الويب ومخاطر OWASP ضمن مسار CEH الكامل — بالفيديوهات والأمثلة والاختبارات القصيرة.