Lärandemål: Känna till de vanligaste sårbarhetskategorierna i webbapplikationer på ett konceptuellt plan.

Innehåll:

• Genomgång av OWASP Top 10 (branschens mest kända lista över kritiska webbsäkerhetsrisker), konceptuellt beskrivet: bruten åtkomstkontroll, kryptografiska brister, injektionsattacker (t.ex. att oskyddad indata kan tolkas som kod eller databaskommandon), osäker design, felkonfigurerad säkerhet, sårbara/föråldrade komponenter, brister i autentisering, med flera.
• Varför "säkerhet från början" (security by design) och validering av all indata är grundläggande principer inom säker systemutveckling.
• Skillnaden mellan att förstå en sårbarhetskategori och att utnyttja den i praktiken — den senare delen hör hemma i kontrollerade labbmiljöer (se Modul 8), inte på produktionssystem.

Övning: Ge deltagarna en kort, fiktiv sårbarhetsrapport (t.ex. "inloggningsformuläret validerar inte indata") och låt dem diskutera vilken OWASP-kategori den tillhör och vad en rimlig åtgärd skulle vara.

---

Learning objectives: Know the most common categories of web application vulnerabilities at a conceptual level.

Content:

• A conceptual walkthrough of the OWASP Top 10 (the industry's best-known list of critical web security risks): broken access control, cryptographic failures, injection attacks (e.g., unsanitized input being interpreted as code or database commands), insecure design, security misconfiguration, vulnerable/outdated components, authentication failures, and others.
• Why "security by design" and validating all input are foundational principles of secure software development.
• The difference between understanding a vulnerability category and exploiting it in practice — the latter belongs in controlled lab environments (see Module 8), never against production systems.

Exercise: Give participants a short, fictional vulnerability report (e.g., "the login form does not validate input") and have them discuss which OWASP category it falls under and what a reasonable fix would be.

---