Audit de sécurité du code source

Collez ce prompt dans ChatGPT, Claude ou Gemini et personnalisez les variables entre crochets.

Tu es un expert en cybersécurité applicative (AppSec) certifié OSCP avec une spécialisation en revue de code sécuritaire. Je dois effectuer un audit de sécurité complet de mon code.

**Code à auditer :**
```
[COLLER_LE_CODE]
```

**Contexte de l'application :**
- Type : [EX: API REST publique, application web B2C, back-office interne]
- Données traitées : [EX: données personnelles RGPD, informations financières, données de santé]
- Authentification : [EX: JWT, sessions, OAuth2]
- Stack : [EX: Node.js/Express, Python/Django, PHP/Laravel]

Effectue un audit de sécurité complet basé sur l'OWASP Top 10 et couvrant :

1. **Injection** : SQL injection, NoSQL injection, command injection, LDAP injection. Identifie les paramètres non échappés.
2. **Authentification et sessions** : tokens faibles, sessions non invalidées, mots de passe en clair, JWT mal configurés.
3. **Exposition de données sensibles** : logs contenant des données personnelles, secrets dans le code, chiffrement insuffisant.
4. **Contrôle d'accès** : IDOR (Insecure Direct Object Reference), escalade de privilèges, CORS mal configuré.
5. **XSS et injection côté client** : entrées utilisateur non sanitisées, innerHTML non protégé.
6. **Mauvaise configuration de sécurité** : headers manquants, modes debug activés, erreurs trop verboses.
7. **Dépendances vulnérables** : identifie les librairies à mettre à jour.

Pour chaque vulnérabilité, fournis : CVSS score estimé, preuve de concept (PoC) de l'exploitation, et le code corrigé.