Top 10:2025 đổi gì, và vì sao nó đổi

Top 10 không phải bảng xếp hạng theo cảm nhận. Tám trong mười hạng mục xếp theo dữ liệu thu từ hàng trăm nghìn ứng dụng; hai hạng mục còn lại đến từ khảo sát cộng đồng, dành cho những rủi ro mà dữ liệu quét chưa bắt được. Biết một hạng mục thuộc nhóm nào là biết nên tin nó tới đâu.

Ba thay đổi đáng để một developer backend đọc kỹ:

(1) A03 — Software Supply Chain Failures. Bản 2021 gọi nó là "Vulnerable and Outdated Components" và câu trả lời gọn: cập nhật dependency. Bản 2025 mở rộng thành toàn bộ chuỗi cung ứng: không chỉ thư viện bạn khai trong package.json mà cả build system, action trong CI, base image, và cái máy đã build artifact. Nó lên hạng ba vì các vụ tấn công thật đã đi qua đúng những cửa đó.

(2) A10 — Mishandling of Exceptional Conditions. Hạng mục hoàn toàn mới. Nó là chỗ về nhà của một nhóm lỗi trước đây không có nhà: fail-open khi một dependency chết, thông báo lỗi khác nhau cho tài khoản tồn tại và không tồn tại, race condition ở đường lỗi, và catch (Exception) { } rỗng. Điểm chung: hệ thống hoạt động đúng ở đường thành công và sai ở đường lỗi.

(3) A05 — Injection gộp cả XSS. XSS không còn hạng mục riêng. Điều này gây tranh luận nhưng đúng về mặt cơ chế: XSS là injection, chỉ khác interpreter (trình duyệt thay vì cơ sở dữ liệu). Gộp lại giữ được một bản vá duy nhất cho cả lớp lỗi: tách dữ liệu khỏi lệnh, encode theo ngữ cảnh đầu ra.

A01 "Broken Access Control" vẫn đứng đầu, hai bản liên tiếp. Không có gì mới ở đó, và đó chính là điều đáng nói.