@ karma4, Wat moet men dan doen om de infrastructuur veiliger te krijgen? Code is a priori slechts veilig tot iemand weer een manier heeft ondekt om het iets te laten doen, dat aanvankelijk niet was voorzien, dat het zou doen. En in kwalijke zin onvoorzien kan leiden tot compromitteren. Kijk naar het JavaScript concept van Brendan Eich. Nog niet doorontwikkeld voor bepaalde toepassingen destijds. HTML met diverse coderingsuitzonderingen. Je kunt dingen opvangen via bepaalde reguliere expressies er op los te laten. Je kunt gebruik maken van snort en SNYK. Je kunt ook kijken hoe lang code nodig heeft om af te lopen en daar dan mogelijke kwetsbaarheid aan af te meten, zoals JS-Reek deed. Ik zie ook een heleboel narigheid vanwege wat Microsoft bijvoorbeeld duidde als "features" en geen zwakheden. Het dubbele extensie probleem met executables, die de leek niet verwacht, kan een grote instinker zijn. En het laag over laag patch-systeem als bij de bekende spreekwoordelijke zeem, waarvan de naam begint met een V ...