Käyttäjällä tulee olla pääsy ainoastaan objekteihin ja toimintoihin, jotka ovat sallittuja kyseiselle käyttäjälle. Puutteet pääsynhallinnassa voi liittyä tietojen vuotamiseen, datan muokkaamiseen tai poistamiseen tai suoritettuihin toimintoihin, jotka eivät kuulu käyttäjälle.

Heikot tietoturva-asetukset voivat ilmetä hyvin monella eri tavalla: esimerkiksi turhia tai vanhentuneita ominaisuuksia on käytössä, virheenkäsittely paljastaa liikaa tietoa järjestelmän sisäisestä toiminnasta tai palvelimen, kirjastojen, tietokantojen jne. tietoturva-asetukset eivät ole käytössä. Vaikka asetuksia ei pysty katselmoimaan suoraan black-box -testauksessa, heikot tietoturva-asetukset tulevat ilmi haavoittuvuuksina.

Ohjelmistojen toimitusketjun häiriöt saavat alkunsa, kun haavoittuvuuksia tai haitallisia muutoksia pääsee mukaan kolmannen osapuolen riippuvuuksien, koontityökalujen tai jakelukanavien kautta. Käytettyjen komponenttien luettelointi ja säännöllinen tietoturvapäivitysten hallinta vähentävät kolmannen osapuolen komponenteista aiheutuvia tietoturvariskejä. On myös välttämätöntä vahvistaa koko CI/CD-putken suojausta, valvoa tiukasti pääsyoikeuksia ja varmistaa, ettei yksikään henkilö voi siirtää koodia tuotantoon ilman valvontaa.

Datan luonteesta riippuen tulee se suojata riittävällä tasolla sekä siirrettäessä että tallennettaessa. Esimerkiksi salasanat, luottokorttitiedot, terveys- ja henkilökohtaiset tiedot vaativat erityistä suojausta varsinkin, kun niihin kohdistuu lakisääteisiä määritteitä ja velvoitteita (esim. GDPR).

Ilkeämielinen data tuntemattomasta lähteestä voi päätyä ohjelmiston osaan, joka suorittaa hyökkääjän asettaman komennon. Komento voi olla esimerkiksi tietokantakutsu (esim. SQL injektio), komentorivikäsky (esim. OS command injection) tai ilkeämielinen koodi, joka suoritetaan käyttäjän selaimessa (Cross-site scripting).

Tarkasti suunnitelman mukaisesti rakennetut toteutukset voivat sisältää turvallisuusongelmia, joita ei ole suunnitteluvaiheessa huomioitu. Tällaisia voivat olla esimerkiksi virheet liiketoimintalogiikassa, selaintason suojan ohittaminen sekä hyökkääjän mahdollisuus asettaa itse tiedostonimiä ja -polkuja. Puutteet suunnittelussa voi tulla ilmi erityyppisinä haavoittuvuuksina.

Puutteelliseen todentamiseen liittyvät hyökkäykset kohdistuvat yleensä käyttäjän todentamiseen, autentikointiin ja session hallintaan. Pääsy järjestelmään tulee olla ainoastaan käyttäjillä, joilla on validit tunnukset järjestelmään. Esimerkiksi sisäänkirjautumisen ohittaminen antaa hyökkääjälle mahdollisuuden päästä kiinni tietoon, johon hänellä ei ole oikeutta.

Applikaatioiden, jatkuvan integroimisen/toimittamisen ja automaattisten päivitysten tulisi aina tulla luotettavista lähteistä ja niiden eheys tulisi varmistaa. Hyökkääjän lähettämä data on aina epäluotettavaa ja erityisesti serialisoitu data vaatii sen tarkastamista tai digitaalisen allekirjoituksen, jotta turvaton deserialisaatio voidaan ehkäistä.

Järjestelmän pitäisi tallentaa kattavasti lokia, lokin perusteella pitäisi nostaa hälytyksiä, hälytyksiä tulisi seurata ja epäilyttävää toimintaa havaitessa hälytyksiin tulisi reagoida. Hyökkääjät voivat luottaa joissain tapauksissa siihen, ettei web-sovelluksessa ole riittävää monitorointia ja hakkeroinnin yhteydessä heidän toimintojansa ei havaita.

Tämä kategoria keskittyy ohjelmiston kyvyttömyyteen estää, havaita ja reagoida asianmukaisesti järjestelmän epänormaaleihin tai ennakoimattomiin tiloihin. Kun sovellukset eivät onnistu käsittelemään vikatilanteita hallitusti tai niistä puuttuu erityinen käsittely ympäristöstä johtuville tai loogisille virheille, ne palautuvat usein ennakoimattomaan tilaan. Nämä ennakoimattomat tilat voivat johtaa käyttäjän todennuksen ohittamiseen tai tiedon vuotamiseen.