OWASP ha publicado la versión RC del OWASP Top 10 2025, sin grandes sorpresas ni cambios significativos, pero con dos nuevas categorías que se suman al listado. El documento sigue siendo un referente para desarrolladores y expertos en seguridad de aplicaciones web, representando un amplio consenso sobre los riesgos más críticos.
A01:2025 – Broken Access Control
El control de acceso deficiente sigue siendo el riesgo de seguridad más grave. Según datos recopilados, el 3,73% de las aplicaciones analizadas presentaban una o más de las 40 vulnerabilidades comunes (CWE) asociadas a esta categoría. La falsificación de solicitudes del lado del servidor (SSRF) se ha incluido en este grupo.
A02:2025 – Security Misconfiguration
La configuración de seguridad incorrecta ascendió del quinto puesto en 2021 al segundo en 2025. El 3,00% de las aplicaciones analizadas presentaban una o más de las 16 vulnerabilidades comunes (CWE) de esta categoría. La ingeniería de software sigue incrementando la proporción del comportamiento de las aplicaciones que depende de las configuraciones.
A03:2025 – Software Supply Chain Failures
Los fallos en la cadena de suministro de software es una ampliación de la categoría anterior «A06:2021 – Componentes vulnerables y obsoletos». Esta categoría fue votada abrumadoramente como una de las principales preocupaciones en la encuesta de la comunidad. Cuenta con 5 CWE y una presencia limitada en los datos recopilados, pero se espera que mejore en este ámbito.
A04:2025 – Cryptographic Failures
Los fallos criptográficos desciende dos puestos, del segundo al cuarto. El 3,80% de las aplicaciones presentan una o más de las 32 CWE de esta categoría. Esta categoría suele provocar la exposición de datos confidenciales o la vulneración del sistema.
A05:2025 – Injection
La categoría de Inyección desciende dos puestos, del número 3 al 5. Incluye una variedad de problemas, desde Cross-site Scripting (de alta frecuencia y bajo impacto) hasta vulnerabilidades de Inyección SQL (de baja frecuencia y alto impacto).
A06:2025 – Insecure Design
El diseño inseguro baja dos puestos, del cuarto al sexto. Esta categoría se introdujo en 2021 y ha mostrado mejoras notables en el sector en relación con el modelado de amenazas.
A07:2025 – Authentication Failures
Los fallos de autenticación mantienen su posición en el número 7. Esta categoría sigue siendo importante, pero el mayor uso de marcos estandarizados parece estar teniendo efectos beneficiosos en la reducción de fallos.
A08:2025 – Software or Data Integrity Failures
Los fallos de integridad de software o datos se mantienen en el puesto 8. Esta categoría se centra en la falta de mantenimiento de los límites de confianza y la verificación de la integridad del software, el código y los datos.
A09:2025 – Logging & Alerting Failures
Fallos de registro y alertas conservan su posición en el puesto 9. Esta categoría fue incluida por votación de la comunidad debido a su importancia para identificar incidentes de seguridad.
A10:2025 – Mishandling of Exceptional Conditions
La gestión inadecuada de condiciones de excepción es una nueva categoría para 2025. Contiene 24 CWE centradas en la gestión inadecuada de errores, errores lógicos y otros escenarios relacionados con condiciones anómalas.