Bedrijven zoals Twitter, Uber en Dropbox belonen sinds enige tijd hackers en beveiligingsonderzoekers voor het rapporteren van kwetsbaarheden in hun websites en webapplicaties. Hiervoor maken ze gebruik van het platform HackerOne, dat onder andere door twee Nederlanders werd opgericht.

Voor het melden van beveiligingsproblemen ontvangen de onderzoekers een financiële beloning. Inmiddels zijn er 1714 beveiligingslekken via HackerOne openbaar gemaakt. Indiase onderzoekers van beveiligingsbedrijf Fallible konden 1359 van deze kwetsbaarheden classificeren, zodat ze konden zien wat voor problemen het vaakst worden gemeld. Dan blijkt dat cross-site scripting het meest voorkomende probleem is.

Cross-site scripting is een probleem waarbij een aanvaller code op een website plaatst die vervolgens in de browser van bezoekers wordt uitgevoerd. Op deze manier kan een aanvaller bijvoorbeeld cookies stelen en zo toegang tot het account van een gebruiker krijgen. Het probleem is al jaren bekend, maar komt nog altijd voor in websites en webapplicaties. Van de in totaal 1359 geclassificeerde kwetsbaarheden die werden gerapporteerd vielen er 375 in deze categorie.

Het onderliggende probleem waardoor cross-site scripting mogelijk is, is dat de invoer van gebruikers niet goed wordt gecontroleerd. Dit blijkt een algemeen terugkerend probleem te zijn, aangezien bijna 28% van alle openbaar gemaakte kwetsbaarheden die bij HackerOne werden gemeld hierdoor wordt veroorzaakt. Een overzicht van alle verschillende soorten beveiligingslekken is op deze pagina te vinden.