JWT валидировался на API Gateway — все четыре микросервиса принимали любой запрос без проверки подписи. Semgrep молчал. DAST не добрался до внутренних эндпоинтов. IDOR нашёлся только при ручном анализе trust boundaries.Архитектурная уязвимость — не баг в коде, а дефект...
Application Security тестирование веб-приложений: от сканера к архитектурному пентесту
Источник: codeby.net