A1-注入漏洞（Injection）。如SQL注入漏洞、NoSQL注入漏洞、OS注入漏洞和LDAP注入漏洞。
A2-遭受破坏的认证（Broken Authentication）。Web应用程序存在不限制身份验证尝试、Web会话令牌泄露、Web应用会话超时设置不正确、Web应用口令复杂性不高和允许使用历史口令等问题。
A3-敏感数据暴露漏洞（SensitiveDataExposure）。许多Web应用程序和API都无法正确保护敏感数据。
A4-XML外部实体引用漏洞（XMIExternalEntities，XXE）。许多较早的或配置错误的XML处理器评估了XML文件中的外部实体引用。攻击者可以利用外部实体窃取使用URI文件处理器的内部文件和共享文件、监听内部扫描端口、执行远程代码和实施拒绝服务攻击。
A5-受损害的访问控制漏洞（Broken Access Control）。未对通过身份验证的用户实施恰当的访问控制，导致访问控制失效。攻击者可以利用这些漏洞访问未经授权的功能或数据。例如，访问其他用户的账户、查看敏感文件、修改其他用户的数据、更改访问权限等。
A6-安全配置错误（SecurityMisconfiguration）。例如，目录列表在服务器端未被禁用，导致攻击者能列出目录列表。
A7-跨站脚本漏洞（Cross-SiteScripting，XSS）。当应用程序的新网页中包含不受信任的、未经恰当验证或转义的数据时，或者使用可以创建HTML或JavaScript的浏览器API更新现有的网页时，就会出现XSS缺陷。XSS让攻击者能够在受害者的浏览器中执行脚本，并劫持用户会话、破坏网站或将用户重定向到恶意站点。
A8-非安全反序列化漏洞（InsecureDeserialization）。非安全的反序列化会导致远程代码执行。即使反序列化缺陷不会导致远程代码执行，攻击者也可以利用它们来执行攻击，包括重播攻击、注入攻击和特权升级攻击。
A9-使用含有已知漏洞的组件（Using Components with Known Vulnerabilities）。
A10-非充分的日志记录和监控（Insufficient Loggingand Monitoring）。
