Web Uygulama Güvenliği: OWASP Top 10 Zafiyetleri (2025)

OWASP Top 10, web uygulamalarındaki en kritik güvenlik risklerini listeleyen referans belgesidir. 2025 sürümü listenin sekizinci sürümüdür ve 2021 listesinin yerini alır. Aşağıda 2025 listesini sırasıyla, her maddenin özüyle bulacaksın.

A01: Bozuk Erişim Denetimi (Broken Access Control)

Kullanıcının yetkisi dışındaki kaynaklara erişebilmesi. Normal kullanıcının yönetim paneline girmesi ya da adresteki kimliği değiştirip başka müşterinin kaydını okuması bu kategoridedir. 2021'de ayrı madde olan sunucu tarafı istek sahteciliği (SSRF) 2025'te bu kategoriye katıldı.

A02: Güvenlik Yanlış Yapılandırması (Security Misconfiguration)

Varsayılan şifreler, açık bırakılmış yönetim arayüzleri, gereksiz servisler ve fazla ayrıntılı hata mesajları. 2021'de beşinci sıradaydı, 2025'te ikinciliğe yükseldi.

A03: Yazılım Tedarik Zinciri Hataları (Software Supply Chain Failures)

2021'deki eski ve zafiyetli bileşenler maddesi genişledi. Artık bağımlılıkları, derleme sistemlerini ve dağıtım altyapısını da kapsar. Log4j gibi kütüphane açıkları da, ele geçirilmiş bir paket deposu da bu kategoriye girer.

A04: Kriptografik Hatalar (Cryptographic Failures)

Hassas verinin şifrelenmemesi ya da zayıf algoritmayla şifrelenmesi. Şifreler, kart bilgileri ve kişisel veriler risk altındadır.

A05: Enjeksiyon (Injection)

Kullanıcı girdisinin doğrulanmadan bir sorguya ya da komuta eklenmesi. SQL enjeksiyonu, komut enjeksiyonu ve XSS bu kategoridedir.

' OR '1'='1' --

A06: Güvensiz Tasarım (Insecure Design)

Güvenlik düşünülmeden tasarlanmış sistemler. Sorun kod düzeyinde değil, mimari düzeydedir: bir iş kuralı eksiktir ya da kötüye kullanım senaryosu hiç düşünülmemiştir.

A07: Kimlik Doğrulama Hataları (Authentication Failures)

Zayıf oturum yönetimi, kimlik bilgisi doldurmaya (credential stuffing) açık giriş formları ve eksik çok faktörlü doğrulama.

A08: Yazılım ya da Veri Bütünlüğü Hataları (Software or Data Integrity Failures)

İmzası doğrulanmayan güncellemeler, güvenilmeyen kaynaktan çalıştırılan kod ve güvenilmeyen veriyi nesneye çeviren (deserialization) uygulamalar. Kodun ve verinin yolda değişmediği kanıtlanamaz.

A09: Güvenlik Günlüğü ve Uyarı Hataları (Security Logging and Alerting Failures)

Saldırıyı fark edememek: yetersiz kayıt, kimsenin bakmadığı günlükler, hiç alarm üretmeyen izleme. 2025'te kategorinin adındaki "Monitoring" yerini "Alerting"e bıraktı.

A10: İstisnai Durumların Yanlış Yönetimi (Mishandling of Exceptional Conditions)

2025'te eklenen yeni kategori. Bir şey ters gittiğinde uygulama güvenli olmayan yöne düşer. Ödeme servisi zaman aşımına uğradığında siparişin "ödendi" sayılması ya da hata mesajında veritabanı ayrıntısının görünmesi bu kategoridedir.

2021 listesinden ne değişti?

• SSRF ayrı madde olmaktan çıktı, A01'in içine katıldı.
• Eski bileşenler maddesi yazılım tedarik zincirinin tamamına genişledi (A03).
• Yanlış yapılandırma beşinci sıradan ikinciye çıktı.
• A10'da yeni bir kategori açıldı: istisnai durumların yanlış yönetimi.

Eski bir raporda "A03 bulgusu" görürsen hangi yılın listesine göre yazıldığına bak. A03 2021'de enjeksiyondu, 2025'te tedarik zinciridir. Kendi raporunda kategoriyi yılıyla yaz: A05:2025 gibi.

Bu Zafiyetleri Öğrenmek

AltaySec Akademi'deki Web Uygulama Güvenliği yolu bu zafiyetleri OWASP Top 10 haritasıyla ve lablarla işler. CTF Arena'daki web görevleriyle de pratik yapabilirsin.