Solvro x WhiteHats

W okresie od grudnia 2025 r. do lutego 2026 r. w ramach współpracy ze strategicznym kołem naukowym Solvro przeprowadziliśmy badanie zabezpieczeń aplikacji webowej “Testownik”.

Zakres i metodologia

Badanie zostało przeprowadzone w trybie hybrydowym, łączącym audyt kodu wraz z testami penetracyjnymi aplikacji.

Audyt kodu źródłowego został przeprowadzony pod kątem identyfikacji luk w zabezpieczeniach oraz niepożądanych zachowań aplikacji. Szczególną uwagę poświęciliśmy funkcjonalności uwierzytelniania i autoryzacji użytkowników.
Przeprowadziliśmy również przegląd kodu pod względem identyfikowania podatności z listy OWASP Top 10 2025 i za pomocą tej metodologii zidentyfikowaliśmy kilka, o różnych stopniach zagrożenia.

Testy penetracyjne przeprowadzaliśmy z założeniem, że do aplikacji Testownik dostęp chcą uzyskać osoby trzecie z niecnymi celami – wcielając się w rolę potencjalnego hakera. Wszelkie działania zostały przez nas przeprowadzone wyłącznie w środowisku testowym udostępnionym nam przez KN Solvro.

Wyniki badań

Zidentyfikowaliśmy kilka podatności, które zostały niezwłocznie zgłoszone, a następnie naprawione przez zespół pracujący nad aplikacją. W wyniku naszych działań, w Testowniku wprowadzone zostały następujące zmiany:

• aplikacja używała domyślnych funkcji do generowania kodów OTP – teraz korzysta z bezpieczniejszych kryptograficznie algorytmów,
• w wyniku spowodowania błędu na jednym z endpointów aplikacji użytkownik mógł otrzymać adres wewnętrznego serwisu N8N – zostało to naprawione, a w przypadku wystąpienia błędów, aplikacja natychmiast poinformuje zespół deweloperów, pomagając szybciej identyfikować potencjalne problemy,
• przy uruchomieniu starszych quizów, aplikacja poprosi użytkownika o potwierdzenie przed załadowaniem zewnętrznych zdjęć.

Podsumowanie

Dziękujemy członkom Solvro za współpracę w ramach tego projektu. Dzięki owocnej kooperacji Testownik jest teraz jeszcze bezpieczniejszy — dla wszystkich.

Pozwalając nam na przeprowadzenie naszych badań KN Solvro pokazuje dedykację do zwiększania bezpieczeństwa swoich użytkowników. Dodatkowo, podczas naszej współpracy na własną rękę przekonaliśmy się, że zespół monitorujący bezpieczeństwo aplikacji czuwa — nawet o 3 rano.