QA Bug Playground

🇻🇳 Sân chơi lỗi cho dân QA

This app is intentionally broken for QA / security-testing practice. Every playground below hides a set of bugs on purpose. Try to find them by exploring the UI and, where relevant, tampering with requests (dev tools, curl, Burp, etc.). When you're stuck, compare notes against the Answer Key.

Ứng dụng này cố ý chứa lỗi để luyện tập kiểm thử QA / bảo mật. Mỗi khu vực bên dưới đều giấu sẵn một loạt lỗi. Hãy tự tìm bằng cách khám phá giao diện, và khi cần, can thiệp vào request (devtools, curl, Burp...). Nếu bí, đối chiếu với Đáp án.

UI Bugs

🇻🇳 Lỗi giao diện

Buttons, modals, tabs, tooltips and layouts that misbehave in small but findable ways.

Nút bấm, hộp thoại, tab, tooltip và bố cục hoạt động sai theo những cách nhỏ nhưng có thể phát hiện được.

Open

Form Validation

🇻🇳 Kiểm tra dữ liệu nhập

A signup form whose client- and server-side validation both have holes.

Một form đăng ký có lỗ hổng ở cả kiểm tra phía client lẫn phía server.

Open

Checkout / Cart

🇻🇳 Thanh toán / Giỏ hàng

Quantity, coupon, rounding and free-shipping bugs -- plus a server that trusts the price you send it.

Lỗi số lượng, mã giảm giá, làm tròn số và ngưỡng freeship -- cùng với việc server tin tưởng giá do bạn gửi lên.

Open

SQL Injection

🇻🇳 Chèn lệnh SQL

A login form, a product search box, and a blind boolean-based endpoint, all built with raw string-concatenated SQL.

Form đăng nhập, ô tìm kiếm sản phẩm, và một endpoint kiểu blind boolean -- tất cả đều dựng SQL bằng cách nối chuỗi thô.

Open

XSS Guestbook

🇻🇳 Sổ lưu bút dính XSS

A comment wall that renders user input without escaping it.

Một bức tường bình luận hiển thị lại dữ liệu người dùng nhập mà không escape.

Open

Broken Access Control (IDOR)

🇻🇳 Lỗi phân quyền (IDOR)

"My Orders" for a fake logged-in user, with no ownership checks on order lookups.

Trang "Đơn hàng của tôi" cho một người dùng đăng nhập giả, không hề kiểm tra quyền sở hữu khi tra cứu đơn hàng.

Open

Answer Key

🇻🇳 Đáp án

Trainer-only cheat sheet listing every intentional bug, page by page, with a junior- vs senior-tester angle on each.

Tài liệu dành cho trainer, liệt kê từng lỗi cố ý theo từng trang, kèm góc nhìn tester ít kinh nghiệm và nhiều kinh nghiệm.

Open

Nothing links here on purpose

🇻🇳 Không có gì liên kết đến đây, cố ý

Two undocumented API routes exist for testers who go beyond clicking through the UI: GET /api/orders and GET /api/debug. Try them with curl or your browser's devtools network tab. Details in the answer key.

Có 2 route API không tài liệu hóa dành cho những tester chịu khó đi xa hơn việc click UI: GET /api/orders và GET /api/debug. Hãy thử bằng curl hoặc tab Network trong devtools. Chi tiết trong đáp án.