Bijna alle websites op het internet hebben tenminste met één ernstig beveiligingslek te maken, zo blijkt uit onderzoek van het Web Application Security Consortium (WASC). De meest voorkomende problemen zijn Cross-Site Scripting, het lekken van informatie, SQL Injectie en voorspelbare locaties van "resources". Het aantal is gebaseerd op een scan van 32.000 websites, zowel via automatische tools als white en black-box scans. In totaal ontdekten de onderzoekers 70.000 beveiligingslekken. Beveiligingsexperts zijn verbaasd over het aandeel van SQL-injectie. "Ik had gedacht dat SQL-injectie een groter aandeel zou hebben. Hoewel de statistieken laten zien dat het aantal afneemt ten opzichte van voorgaande jaren, moet men deze aanval, en alle vormen van injectie in het algemeen, blijven bestrijden," zegt Raul Siles van het ISC.

Beveiligingsexpert Jeremiah Grossman waarschuwt om niet teveel naar de cijfers te kijken. "Het is het beste om deze rapporten gewoon te zien voor wat ze zijn, waar het werkelijke aantal en soort beveiligingslekken onbekend is. Er zijn bepaalde onnauwkeurigheden, zoals met CSRF, maar het geeft ons tenminste iets om mee te werken."

Het rapport vergelijkt ook test methoden om problemen binnen websites te vinden. Het gebruik van black box en white box scans levert meer autorisatie, authenticatie en logische lekken op. Daarnaast hebben deze scans 12,5 keer meer kans om een ernstig lek te vinden dan met een geautomatiseerde scan het geval is.