5 :Security Misconfiguration

Con más cambios hacia software altamente configurable, no es sorprendente ver que esta categoría suba.Puede ocurrir cuando faltan ajustes de configuración del sistema o de la aplicación o se implementan erróneamente, lo que permite el acceso no autorizado. Errores de configuración de seguridad comunes como resultado de dejar la configuración predeterminada sin cambios, cambios de configuración erróneos u otros problemas técnicos.

Falta de refuerzo de seguridad adecuado en cualquier parte de la pila de aplicaciones o permisos configurados incorrectamente en los servicios en la nube.
Se habilitan o instalan funciones innecesarias (por ejemplo, puertos, servicios, páginas, cuentas o privilegios innecesarios).
Las cuentas predeterminadas y sus contraseñas aún están habilitadas y sin cambios.
El manejo de errores revela rastros de pila u otros mensajes de error demasiado informativos para los usuarios.
Para los sistemas actualizados, las funciones de seguridad más recientes están deshabilitadas o no configuradas de forma segura.
Las configuraciones de seguridad en los servidores de aplicaciones, marcos de aplicaciones (por ejemplo, Struts, Spring, ASP.NET), bibliotecas, bases de datos, etc., no están configuradas con valores seguros.
El servidor no envía encabezados ni directivas de seguridad, o no están configurados con valores seguros.
El software está desactualizado o es vulnerable.