Web-уязвимости весны

[noavarice]

В статье ссылаетесь на какое-то конкретное исследование? Интересно было бы посмотреть источники
А вообще интересно видеть, что инъекции опять на коне, особенно в БД

[argend0]

Добрый день!
В качестве источника данных по CVE использовался NVD NIST, фактически, просто долгосрочный сбор данных про веб уязвимости и их категоризация.
Данные о PoC были были взяты с Github.

[AnthonyDS]

Данные только по php, по другим (java, go, python) нет?

[argend0]

Я фиксировал все данные по CVE для веб-уязвимостей за весну, но, к сожалению или к счастью, в Java, Go, Python и решениях на их основе не нашлось настолько много уязвимостей - тем более высококритичных.

Java:

  stack  | count | severity
---------+-------+----------
 flask   |     3 | LOW
 django  |     1 | MEDIUM
 fastapi |     1 | LOW
 tornado |     1 | HIGH

Go:

 stack | count | severity
-------+-------+----------
 go    |     1 | HIGH
 beego |     1 | CRITICAL

Python:

  stack  | count | severity
---------+-------+----------
 flask   |     3 | LOW
 django  |     1 | MEDIUM
 fastapi |     1 | LOW
 tornado |     1 | HIGH

Но впредь расширю статистику на популярные языки вне зависимости от количества найденных для них уязвимостей :)

[AnthonyDS]

Что-то не то с таблицей для java)

[argend0]

И правда :)
Кидаю актуальную:

 stack  | count | severity
--------+-------+----------
 java   |     9 | MEDIUM
 spring |     1 | HIGH

[AnthonyDS]

Чем выше severity тем безопаснее?

[argend0]

Чем выше severity тем опаснее уязвимость, тут идёт группировка по количеству.