EXEMPLO FICTÍCIO — empresa, dados e achados inventados apenas para demonstrar o formato.

Relatório de teste de invasão

Loja Exemplo Ltda. — Aplicação web

Tipo: Caixa cinza
Janela: 5 dias úteis
Base: OWASP WSTG
Classificação: Confidencial

1. Resumo executivo

Foram identificadas 4 vulnerabilidades. A mais grave (FC-01) permite que qualquer cliente logado veja pedidos de outros clientes, incluindo nome e endereço. Recomendamos corrigir FC-01 de imediato e FC-02/FC-03 no próximo ciclo. Nenhum dado foi alterado ou retido durante os testes.

Crítica

Alta

Média

Baixa

2. Escopo e regras

Dentro do escopo: loja.exemplo.com.br e api.exemplo.com.br (ambiente de homologação).
Fora do escopo: provedores de pagamento, e-mail e engenharia social.
Sem testes de negação de serviço. Contas de teste fornecidas pelo cliente.
Autorização assinada antes do início, com contatos de emergência.

3. Achados

FC-01Alta · CVSS 7.5

Acesso a pedidos de outros clientes (IDOR)

GET /api/pedidos/{id}

Descrição: A API retorna qualquer pedido a partir do ID numérico, sem verificar se o pedido pertence ao usuário autenticado.
Evidência: Autenticado como cliente A, a requisição para /api/pedidos/10432 (pedido do cliente B) retornou 200 com nome, endereço e itens. Dados mascarados neste relatório.
Impacto: Exposição de dados pessoais de todos os clientes, com risco à LGPD.
Correção recomendada: Validar no servidor que o pedido pertence ao usuário da sessão; usar identificadores não sequenciais como defesa adicional.

FC-02Média · CVSS 5.4

XSS armazenado nas avaliações de produto

POST /produtos/{id}/avaliacoes

Descrição: O texto da avaliação é exibido sem escape de HTML na página do produto.
Evidência: Uma avaliação contendo uma tag HTML de teste inofensiva foi renderizada como elemento na página.
Impacto: Execução de script no navegador de outros visitantes (roubo de sessão, phishing na própria página).
Correção recomendada: Escapar a saída por padrão no template e aplicar Content-Security-Policy com nonce.

FC-03Média · CVSS 5.3

Login sem limite de tentativas

POST /login

Descrição: Não há bloqueio, atraso progressivo ou CAPTCHA após tentativas de senha erradas.
Evidência: 50 tentativas consecutivas (janela autorizada, conta de teste) sem nenhuma restrição.
Impacto: Permite ataques de força bruta e credential stuffing.
Correção recomendada: Rate limit por IP e por conta, atraso progressivo e MFA para contas administrativas.

FC-04Baixa · CVSS 3.1

Cabeçalhos de segurança ausentes

Todas as páginas

Descrição: Ausência de Content-Security-Policy, Strict-Transport-Security e X-Frame-Options.
Evidência: Resposta HTTP da página inicial sem os cabeçalhos citados.
Impacto: Aumenta o impacto de outras falhas (XSS, clickjacking, downgrade).
Correção recomendada: Configurar os cabeçalhos no servidor ou na CDN.

4. Próximos passos

Após as correções, um reteste confirma o fechamento de cada achado e o relatório é atualizado com o status final.