Какие знаешь уязвимости

1. XSS (Cross-Site Scripting) — внедрение вредоносного кода в страницу.
   Пример:

   javascript

   Копировать

   // Уязвимый код
   document.getElementById('output').innerHTML = userInput;

   Защита: экранирование (textContent), CSP, санитизация (DOMPurify).

2. CSRF (Cross-Site Request Forgery) — выполнение действий от имени пользователя без его ведома.
   Защита: CSRF-токены, SameSite cookies.

3. CORS Misconfiguration — неправильная настройка заголовков CORS, позволяющая доступ с любых доменов.
   Пример уязвимости:

   http

   Копировать

   Access-Control-Allow-Origin: *

4. Инъекции (SQL, NoSQL, Template) — передача небезопасных данных в запросы.
   Пример (NoSQL):

   javascript

   Копировать

   // Уязвимый запрос
   db.users.find({ login: req.body.login });

5. Утечка данных — например, через console.log, хранение токенов в localStorage.

6. Clickjacking — наложение прозрачного iframe на кнопки для скрытого клика.
   Защита: заголовок X-Frame-Options: DENY.

7. Небезопасные зависимости — использование устаревших пакетов с уязвимостями (проверка через npm audit).

Всегда: валидация, экранирование, HTTPS, принцип минимальных привилегий.