Fiche mémo
OWASP Top 10
Les classements de référence pour parler des risques des applications web et des applications fondées sur des LLM. Utiles pour classer un constat dans un rapport.
Applications web : édition 2025
Édition en vigueur, publiée fin 2025. Deux nouvelles catégories : la chaîne d'approvisionnement logicielle et la mauvaise gestion des conditions exceptionnelles. La SSRF est désormais rattachée au contrôle d'accès.
| Rang | Catégorie | En bref |
|---|---|---|
| A01 | Broken Access Control | Accès à des données ou fonctions sans en avoir le droit (IDOR, élévation horizontale ou verticale, SSRF). |
| A02 | Security Misconfiguration | Paramètres par défaut, fonctions inutiles actives, messages d'erreur trop bavards. |
| A03 | Software Supply Chain Failures | Dépendances, outils de build ou composants tiers compromis ou vulnérables. |
| A04 | Cryptographic Failures | Données sensibles mal chiffrées ou algorithmes faibles. |
| A05 | Injection | Données non fiables interprétées comme du code : SQL, commandes, XSS… |
| A06 | Insecure Design | Défaut de conception que l'implémentation ne peut pas corriger. |
| A07 | Authentication Failures | Mots de passe faibles autorisés, sessions mal gérées, absence de MFA. |
| A08 | Software or Data Integrity Failures | Code ou données acceptés sans vérification d'intégrité. |
| A09 | Security Logging and Alerting Failures | Événements non journalisés ou sans alerte : l'attaque passe inaperçue. |
| A10 | Mishandling of Exceptional Conditions | Erreurs et cas limites mal gérés, qui laissent l'application dans un état dangereux. |
Applications web : édition 2021
Encore citée dans de nombreux modules et rapports.
| Rang | Catégorie |
|---|---|
| A01 | Broken Access Control |
| A02 | Cryptographic Failures |
| A03 | Injection |
| A04 | Insecure Design |
| A05 | Security Misconfiguration |
| A06 | Vulnerable and Outdated Components |
| A07 | Identification and Authentication Failures |
| A08 | Software and Data Integrity Failures |
| A09 | Security Logging and Monitoring Failures |
| A10 | Server-Side Request Forgery (SSRF) |
Applications LLM : édition 2025
| Rang | Catégorie | En bref |
|---|---|---|
| LLM01 | Prompt Injection | Des instructions, directes ou cachées dans un contenu, détournent le modèle. |
| LLM02 | Sensitive Information Disclosure | Le modèle révèle des données sensibles. |
| LLM03 | Supply Chain | Modèles, données ou bibliothèques tiers compromis. |
| LLM04 | Data and Model Poisoning | Données d'entraînement ou modèle altérés. |
| LLM05 | Improper Output Handling | Sortie du modèle utilisée sans contrôle par l'application. |
| LLM06 | Excessive Agency | Trop d'outils ou de droits accordés au modèle. |
| LLM07 | System Prompt Leakage | Le prompt système fuit, avec ce qu'il contient. |
| LLM08 | Vector and Embedding Weaknesses | Failles dans les bases vectorielles et le RAG. |
| LLM09 | Misinformation | Réponses fausses présentées comme fiables. |
| LLM10 | Unbounded Consumption | Usage non borné : coûts, déni de service, extraction de modèle. |