Osmo izdanje OWASP Top 10 liste, potvrđeno u januaru 2026. godine, zasnovano je na analizi više od 175.000 CVE zapisa i povratnim informacijama sigurnosnih stručnjaka širom svijeta. Lista uvodi dvije potpuno nove kategorije i jednu konsolidaciju, što je označeno kao fundamentalni pomak u pristupu sigurnosti aplikacija.

Unutar kategorije Injection (A05:2025) nalaze se tri napada koja su decenijama na vrhu liste prijetnji za web aplikacije. Razumijevanje kako funkcionišu i kako ih spriječiti osnova je sigurnog kodiranja.

SQL Injection nastaje kada napadač ubaci zlonamjerne SQL upite u polja za unos podataka web aplikacije, prevareći bazu podataka da izvrši neovlaštene komande. Rezultat može biti krađa podataka, brisanje ili potpuna kompromitacija baze. Prema OWASP klasifikaciji za 2025. godinu, SQL injection karakterizira niska učestalost ali visok uticaj — uspješna eksploatacija može dovesti do potpune kompromitacije baze podataka.

Konkretan primjer iz 2025. godine: u februaru je otkrivena PostgreSQL ranjivost (CVE-2025-1094) sa CVSS ocjenom 8.1 koja je zaobišla rutine za sigurno escapovanje stringova. U maju 2025. je vladinski portal probijena putem SQL injection napada, izlažući osjetljive podatke građana. Čak i kompanije poput Marriott International pretrpjele su ogromne štete — napad koji je počeo 2014. kompromitovao je 500 miliona zapisa gostiju.

XSS nastaje kada aplikacija uključuje nepouzdane podatke u web stranice bez odgovarajuće validacije ili enkodiranja, omogućavajući napadačima da ubace klijentske skripte koje se izvršavaju u pretraživačima žrtava. Sa više od 30.000 CVE zapisa, XSS je najčešći tip injection ranjivosti. Postoje tri osnovna oblika: Stored XSS (zlonamjerni kod pohranjen na serveru), Reflected XSS (odmah vraćen u odgovoru) i DOM-based XSS (manipulacija DOM stabla bez serverskog učešća).

Posljedice XSS napada su ozbiljne: krađa session kolačića, preuzimanje naloga, pokretanje keyloggera za hvatanje lozinki, preusmjeravanje na phishing stranice ili isporuka malvera. Microsoftovo sigurnosno istraživanje iz novembra 2025. pokazalo je kako se XSS može kombinovati s CSRF ranjivostima i slabim Content Security Policy pravilima za postizanje udaljenog izvršavanja koda.

CSRF napad iskorišćava činjenicu da pretraživač automatski uključuje session kolačiće u svaki zahtjev prema određenoj domeni. Napadač prevari autentifikovanog korisnika da pošalje falsifikovani zahtjev — npr. putem ugrađene slike ili forme na zlonamjernoj stranici — bez znanja korisnika. Za razliku od XSS-a koji cilja korisnika ubacivanjem koda, CSRF šalje neovlaštene zahtjeve od strane pretraživača prema pouzdanoj aplikaciji.

Ključna razlika: XSS je ranjivost na strani klijenta koja cilja druge korisnike aplikacije, dok je SQL injection ranjivost na strani servera koja cilja bazu podataka aplikacije. CSRF je prikriveniji i teže ga je uočiti jer eksploatiše legitimne korisničke sesije u tišini.

Input validacija je kamen temeljac sigurnog razvoja softvera. Verificiranjem svakog unosa — od korisnika, API-ja ili sistema trećih strana — programeri osiguravaju da u aplikaciju ulaze samo pouzdani podaci. Ona provjerava tip, dužinu, format i sadržaj prije nego što podaci prodru dublje u sistem. Kombinovana s output encodingom, parametrizovanim upitima i striktnom validacijom sheme, kreira slojevitu odbranu koja dramatično smanjuje broj iskoristivih grešaka.

Dvije potpuno nove kategorije u OWASP Top 10:2025 odražavaju modernu stvarnost razvoja softvera. Prema istraživanju Orca Security, čak 50% ispitanika rangiralo je Software Supply Chain Failures (A03) kao svoju primarnu brigu. Ova kategorija proširuje raniji fokus na "zastarjele komponente" na cijeli ekosistem: zavisnosti, build sisteme, CI/CD pipeline i distribucijsku infrastrukturu.

Primjeri iz prakse u 2025. godini uključuju malware kampanje skrivene u npm paketima koje su eksfiltrirале kredencijale, napade konfuzije zavisnosti koji su infiltrirali razvojne radne stanice te trovane popularne biblioteke poput chalk i debug preuzimane milionima puta. Svaka linija koda iz eksternih izvora mora biti tretirana kao potencijalna prijetnja.

Mishandling of Exceptional Conditions (A10) je nova kategorija koja naglašava važnost sigurnog upravljanja greškama. Loše upravljanje izuzecima može procuriti osjetljive podatke (stack traces, ključeve), zaobići kontrole (fail-open logika) ili izazvati denial-of-service. Prema OWASP anketi, 50% ispitanika rangiralo je ovu kategoriju kao svoju primarnu prijetnju u nastajanju.

Sigurno kodiranje nije jednokratni napor — ono zahtijeva kontinuiranu posvećenost i budnost kroz cijeli životni ciklus razvoja softvera. Prema OWASP preporukama, najefektivniji prvi korak prema sigurnijem kodiranju je usvajanje OWASP Top 10 smjernica na nivou organizacije.

OWASP Top 10:2025 donosi i specifične smjernice za sigurnost AI-generisanog koda. Istraživanja su pokazala da LLM coding asistenti često generišu kod koji sadrži A03 Injection obrasce, A07 Authentication greške i A04 kriptografske slabosti — jer su trenirani na historijskim repozitorijumima koda koji prethode modernim sigurnosnim praksama. Svaka linija AI-generisanog koda mora proći isti SAST pregled kao i kod koji pišu ljudi — bez izuzetaka.

Prema IBM izvještaju za 2025. godinu, 16% svih sigurnosnih incidenata uključivalo je napadače koji koriste AI. Istovremeno, 63% kompanija koje su pretrpjele incident nije imalo AI governance politiku ili je još uvijek razvijalo jednu. Ovo naglašava važnost balansiranog pristupa: koristiti AI za ubrzanje razvoja, ali ne zanemariti sigurnosni pregled generisanog koda.