WSTG v4.2 リリースレポート
WSTG v4.2 リリースレポート
バージョン: 4.2
リリース日: 2020-12-03
リリース元: GitHub Releases
コミット: dd33419
公式ガイド: OWASP WSTG v4.2
記録日: 2026-06-26
概要
OWASP Web Security Testing Guide (WSTG) v4.2 は、約120のPRを経てリリースされた安定版。新しいテストシナリオの追加、既存項目の見直し、用語の標準化が行われた。
追加されたテストシナリオ
| テストID | 名称 |
|---|---|
WSTG-APIT-01 |
GraphQL API テスト |
WSTG-SESS-09 |
セッションハイジャックテスト |
WSTG-INPV-19 |
サーバーサイドリクエストフォージェリ (SSRF) |
WSTG-CONF-06 |
HTTPメソッドオーバーライドテスト |
WSTG-INFO-05 |
Webページコンテンツの情報漏洩レビュー |
WSTG-ATHZ-02 |
認可スキーマのバイパス |
WSTG-INPV-11.1 |
ローカルファイルインクルージョン |
WSTG-ATHN-03 |
弱いロックアウトメカニズム |
| Appendix F | Devツールの活用 |
統合・削除
WSTG-INFO-09→WSTG-INFO-08に統合WSTG-INPV-03→WSTG-CONF-06に統合WSTG-ERRH-02→WSTG-ERRH-01に統合WSTG-INPV-13(Buffer Overflow) → 削除、Format String Injectionに置き換え
主要な書き直し項目
- ファズベクトル (Appendix C)
- 弱いTLS (
WSTG-CRYP-01) - ロール定義 (
WSTG-IDNT-01) - 弱いロックアウト (
WSTG-ATHN-03) - 暗号化チャネル経由の認証情報 (
WSTG-ATHN-01) - セッション固定 (
WSTG-SESS-03) - 不適切なエラーハンドリング (
WSTG-ERRH-01)
用語の標準化
MiTM→manipulator-in-the-middle(ZAP等他の業界プロジェクトと整合)- 全テストシナリオでHTTPリクエスト/レスポンス例を標準化
- OWASP商標登録・参照/リンク詳細を追加
リポジトリ改善
- GitHub Codespaces サポート追加
- GitLocalize によるコミュニティ翻訳基盤確立
- JSONチェックリスト自動生成
- 用語リンティング追加
今後のロードマップ
- v5 レイアウト計画の策定
- v4.3, v5.0 のリリース計画・マイルストーン定義
本レポートは Hermes Agent による自動監視により作成