Rund 30 Seiten · Deutsch oder Englisch · PDF
Die fiktive Heveon GmbH betreibt ein Self-Service-Portal, über das rund 40 Schweizer KMU Lohnabrechnungen, IBAN und AHV-Nummern ihrer Mitarbeitenden verwalten. Vor dem Go-Live haben wir die Webanwendung und die REST-API während acht Arbeitstagen als Grey-Box-Test geprüft. Der Bericht dokumentiert sechs Schwachstellen, darunter eine kritische, jeweils mit Nachweis, Risikobewertung und konkreten Massnahmen.
| # | Befund | Schweregrad |
|---|---|---|
| 1 | IDOR: Lohnausweis über sequenzielle API-ID zugänglich | Kritisch |
| 2 | Fehlerhafte Authentifizierung: Passwort-Reset-Token nach Verwendung wiederverwendbar | Hoch |
| 3 | Geschäftslogik: Spesenbetrag clientseitig manipulierbar | Hoch |
| 4 | Sensible Daten im JWT-Payload | Mittel |
| 5 | Legacy-API-v0-Admin-Endpunkt weiterhin erreichbar | Mittel |
| 6 | Fehlende HTTP-Sicherheits-Header | Niedrig |
Kunde, Personen und Daten im Bericht sind fiktiv. Die Schwachstellen und Nachweise stammen aus einer eigens dafür aufgebauten Testumgebung.
Wir haben Ihnen eine E-Mail mit dem Download-Link gesendet. Der Link ist 30 Tage gültig. Falls nichts ankommt, prüfen Sie bitte Ihren Spam-Ordner.
Möchten Sie den Bericht oder Ihr eigenes Projekt direkt mit uns besprechen?
