Testbank
Werkt de scanner? Elke nacht nagekeken.
Elke nacht scant de scanner bewust lekke apps, waarvan we weten welke lekken erin zitten, en schone apps. Zo zie je wat hij vindt, wat hij mist en hoe vaak hij vals alarm geeft. Ook wat hij mist, tonen we.
Laatst gedraaid: 22 oktober 2026 · de run in GitHub · de lijst met lekken: tests/testbank.yaml · de code: tools/testbank.py
OWASP Juice Shop G
De bekendste bewust onveilige webwinkel (Node.js, Angular), van OWASP. Code op GitHub, commit 399fba7.
| Gedocumenteerd lek | Uitkomst | Waar in de code |
|---|---|---|
| SQL-injectie bij het inloggen | Gevonden Kritiek: SQL opgebouwd met een template string: SQL-injectie | routes/login.ts |
| NoSQL-injectie bij het volgen van een bestelling | Gevonden Hoog: NoSQL-query rechtstreeks uit invoer van de gebruiker | routes/trackOrder.ts |
| NoSQL-injectie bij de reviews | Gevonden Hoog: NoSQL-query rechtstreeks uit invoer van de gebruiker | routes/showProductReviews.ts |
| Privésleutel voor de inlogtokens in de code | Gevonden Kritiek: Geheim in de code: privésleutel | lib/insecurity.ts |
| Wachtwoorden met MD5 gehasht | Gevonden Middel: MD5 of SHA-1: niet geschikt voor beveiliging | lib/insecurity.ts |
| Inlogtoken in localStorage | Gevonden Hoog: Token of geheim in localStorage of sessionStorage: leesbaar voor elk script (XSS) | overal in het project |
| Pakketten met bekende lekken | Gevonden Kritiek: jsonwebtoken 0.4.0: 4 bekende kwetsbaarheden (1 kritiek, 1 hoog, 2 middel) | overal in het project |
OWASP NodeGoat G
Bewust onveilige Node.js-app van OWASP, met een les per lek uit de OWASP Top 10. Code op GitHub, commit c5cb68a.
| Gedocumenteerd lek | Uitkomst | Waar in de code |
|---|---|---|
| Code van de gebruiker uitgevoerd met eval() | Gevonden Hoog: eval() met een variabele: willekeurige code kan uitgevoerd worden | app/routes/contributions.js |
| NoSQL-injectie in de toewijzingen | Gevonden Hoog: NoSQL-query rechtstreeks uit invoer van de gebruiker | app/data/allocations-dao.js |
| XSS, automatische escaping in de templates uitgezet | Gevonden Hoog: HTML-escaping in de templates uitgeschakeld: XSS | server.js |
| Wachtwoorden onversleuteld opgeslagen | Gemist | app/data/user-dao.js |
| Pakketten met bekende lekken | Gevonden Kritiek: bson 1.0.9: 2 bekende kwetsbaarheden (1 kritiek, 1 middel) · indirect | overal in het project |
DVNA G
Damn Vulnerable NodeJS Application van Appsecco, per lek uit de OWASP Top 10. Code op GitHub, commit 9ba473a.
| Gedocumenteerd lek | Uitkomst | Waar in de code |
|---|---|---|
| SQL-injectie met een samengestelde query | Gevonden Kritiek: SQL opgebouwd door tekst aan elkaar te plakken: SQL-injectie | core/appHandler.js |
| Commando-injectie (ping met invoer van de gebruiker) | Gevonden Kritiek: Shellopdracht met een variabele: commando-injectie | core/appHandler.js |
| Onveilige deserialisatie | Gevonden Kritiek: Onveilige deserialisatie van invoer van de gebruiker | core/appHandler.js |
| XML-parser met externe entiteiten (XXE) | Gevonden Hoog: XML-parser met externe entiteiten aan (XXE) | core/appHandler.js |
| XSS, uitvoer zonder escaping | Gevonden Middel: Uitvoer zonder escaping in een template | views/app/products.ejs |
| Pakketten met bekende lekken | Gevonden Kritiek: ejs vanaf 2.5.7: 2 bekende kwetsbaarheden (1 kritiek, 1 middel) | overal in het project |
DVPWA F
Damn Vulnerable Python Web Application (aiohttp), met SQL-injectie en XSS. Code op GitHub, commit a1d8f89.
| Gedocumenteerd lek | Uitkomst | Waar in de code |
|---|---|---|
| SQL-injectie met tekstopmaak in de query | Gevonden Hoog: SQL opgebouwd met tekstopmaak (% of f-string): SQL-injectie | sqli/dao/student.py |
| XSS, automatische escaping in Jinja2 uitgezet | Gevonden Hoog: HTML-escaping uitgeschakeld: XSS | sqli/app.py |
| Wachtwoorden met MD5 gehasht | Gevonden Hoog: Wachtwoord gehasht met MD5 of SHA-1 | sqli/dao/user.py |
Vals alarm op schone apps
Een schone app is geen bewust lekke app. Een kritieke of hoge melding die we bekeken en terecht vonden, telt niet als vals alarm; die staat hieronder ook.
Full Stack FastAPI Template E
Het officiële, onderhouden sjabloon van FastAPI. Geen bewust lekke app; wat de scan vindt, beoordelen we hieronder.
Geen vals alarm. Terechte meldingen: .env met standaardwaarden in de repository (bedoeld om te vervangen); Pakketten met gepubliceerde lekken op deze commit; Geen lockfile voor een deel van de frontend; Inlogtoken in localStorage.
Demo-app Factuurhulp, hersteld C
Onze eigen demo-app nadat alles hersteld is (tests/maak_demo.py --hersteld).
Geen vals alarm.