novahiz-securitylisted

# novahiz-security Audit de sécurité en trois temps : scan des patterns dangereux, analyse OWASP et CWE, puis vérifications propres à chaque langage. ## Matrice de détection ### OWASP Top 10 (2021) | ID | Catégorie | Détection | |----|-----------|-----------| | A01 | Broken Access Control | RBAC, contrôle horizontal et vertical | | A02 | Cryptographic Failures | Algorithmes faibles, clés en dur | | A03 | Injection | SQL, NoSQL, OS, LDAP, XPath | | A04 | Insecure Design | Patterns architecturaux dangereux | | A05 | Security Misconfiguration | Defaults, headers, CORS | | A06 | Vulnerable Components | Dépendances obsolètes | | A07 | Auth Failures | Session fixation, brute force | | A08 | Data Integrity Failures | Deserialization non signée | | A09 | Logging Failures | Données sensibles dans les logs | | A10 | SSRF | Requêtes serveur sans validation | ### CWE Top 25 (2024) | ID | Faiblesse | Signature de détection | |----|-----------|------------------------| | CWE-79 | XSS | `innerHTML`, `dangerouslySetInnerHTML`, `document.write` | | CWE-89 | SQL Injection | Concaténation SQL, format strings | | CWE-416 | Use After Free | Pointeurs, mémoire manuelle (C/C++) | | CWE-787 | Out-of-bounds Write | Débordement de buffer | | CWE-78 | Command Injection | `exec()`, `system()`, `os.popen()` | | CWE-190 | Integer Overflow | Arithmétique non vérifiée | | CWE-502 | Deserialization | `pickle.loads()`, `yaml.load()` | | CWE-200 | Info Exposure | Logs sensibles, stack traces | | CWE-287