Une nouvelle étude publiée par Barracuda fait un constat : en moyenne, 20 vulnérabilités de sécurité sont présentes dans une application web. Ce sont autant de risques d'attaques. La moyenne se situe plutôt entre 18 et 22 failles potentielles. 

Quelques risques :

• Divulgation d’informations : représentant 25 % des failles de sécurité détectées, elle se produit lorsque l’application révèle trop d’informations sur ses systèmes, domaines, pages masquées, routes ou services. Les attaquants peuvent utiliser ces données pour cartographier l’environnement de la cible, repérer les points faibles, découvrir des points de terminaison cachés, trouver des zones d’administration dissimulées et préparer des attaques plus ciblées, le tout sans être détectés.

• Usurpation et imitation de marque : représentant 23 % des failles de sécurité détectées, il s’agit de faiblesses qui permettent plus facilement aux attaquants de se faire passer pour une marque, un site web ou un domaine de confiance, et d’inciter les utilisateurs à communiquer leurs identifiants ou des informations sensibles. Les attaquants peuvent utiliser des identités compromises pour cloner des pages web, rediriger les utilisateurs vers des sites malveillants, voler des identifiants de connexion ou envoyer des e-mails de phishing crédibles au nom de la marque

• Attaques côté client (exploitation du navigateur) : il s’agit de faiblesses dans la manière dont les pages web affichent ou exécutent du contenu, permettant aux attaquants d’exécuter des scripts malveillants dans le navigateur d’un utilisateur. L’exposition aux attaques côté client représente 14 % des failles de sécurité détectées. Les attaquants pourraient l’exploiter pour injecter des scripts — par exemple au moyen d’attaques de type Cross-Site Scripting (XSS) — afin de voler des cookies de session, modifier le contenu visible, inciter les utilisateurs à cliquer sur des boutons masqués ou téléverser des fichiers trompeurs.

• Exposition des données : elle représente 10 % des failles de sécurité détectées. Elle se produit lorsque des informations sensibles sont inutilement exposées par l’application, par exemple via des pages web, des API, des journaux, des cookies, des scripts de suivi ou des réponses mal configurées. Les attaquants peuvent l’exploiter pour recueillir des données personnelles, des jetons, du contenu privé, des secrets ou des informations commerciales confidentielles, notamment des e-mails et des paramètres de configuration ; suivre les utilisateurs sans leur consentement ; et contourner les contrôles d’accès et les politiques de conservation des données. 

• La liste se complète par un chiffrement faible ou absent, qui permet aux attaquants d’intercepter ou de manipuler le trafic (6 % des failles), des logiciels obsolètes ou des configurations non sécurisées (également 6 %), ainsi que des faiblesses dans la gestion des sessions utilisateur et dans la protection des cookies et des identifiants (5 %).

Bref, il faut scanner les éléments, vérifier la configuration et les permissions, bloquer ou limiter les accès, mettre en place une authentification forte, etc. 

Pour en savoir plus : https://blog.barracuda.com/2026/08/19/average-web-application-20-security-vulnerabilities