1 · 高管摘要
Acme Corp——Web 应用与 API 评估
SecureBlock 于 2026 年 8 月 17 日至 28 日对 Acme 的 Web 应用和 API 进行了手动渗透测试。测试遵循 OWASP WSTG 和 PTES 方法论，由持有 OSCP + OSWE 认证的首席测试员执行，并由第二位审核人验证所有发现。
共识别出十五项发现：严重 1 项、高危 3 项、中危 5 项、低危 4 项、信息级 2 项。其中的严重发现——未经身份验证的跨租户数据导出——在发现后的同一工作小时内即完成披露，并在测试窗口期内完成修复。总体安全状况为中等；授权模型需要系统性审查，但代码库显示出成熟的安全开发实践。
4 · 严重程度分布
critical1
high3
medium5
low4
info2
5 · 发现（15 项中显示 5 项）
criticalCVSS 9.1SB-01
Unauthenticated tenant data exposure on /export
app.acme.com/exportDay 2
Remediation — Require an authenticated session and scope exports to the caller's tenant id. Add integration test to assert cross-tenant access returns 403.
highCVSS 8.1SB-02
Authenticated IDOR on /api/v2/invoices
staging.acme.com/api/v2/invoices/{id}Day 3
Remediation — Enforce object-level authorization server-side; reject cross-tenant identifiers regardless of session.
highCVSS 7.5SB-03
Mass assignment allows self-promotion to admin role
POST /api/v2/users/profileDay 3
Remediation — Allowlist writeable fields per role. Strip unrecognised keys before binding request body to model.
mediumCVSS 5.4SB-04
GraphQL introspection enabled in production
api.acme.com/graphqlDay 1
Remediation — Disable introspection on production schemas; implement depth and complexity limits.
lowCVSS 3.7SB-05
Missing HSTS preload on marketing subdomain
www.acme.comDay 6
Remediation — Add the preload directive and submit the domain to hstspreload.org.
另有 10 项发现在脱敏预览中已隐藏。
8 · 证据包内容
engagement-letter.pdf
已签署的范围 + 日期 + 测试人员
executive-summary.pdf
一页纸董事会简报
technical-report.pdf
全部发现 + CVSS + 证据
remediation-log.csv
每项发现的状态 + 时间戳
retest-attestation.pdf
已签署的修复验证
methodology-statement.pdf
标准 + 认证