We’re retiring the AJAX Spider and DOM XSS add-ons from the nightly and weekly releases, and the new LLM Support add-on officially launched in August.

The Zed Attack Proxy (ZAP) team has released the OWASP PTK add-on, version 0.2.0 alpha, integrating the OWASP Penetration Testing Kit (PTK) browser extension directly into ZAP-launched browsers. This streamlines application security testing by embedding DAST, IAST, SAST, SCA, and specialized tools like JWT and cookie editors without manual setup. Available via the ZAP Marketplace, the add-on pre-installs PTK in Chrome, Edge, and Firefox sessions proxied through ZAP. Users install the OWASP PTK add-on from ZAP’s Marketplace, then launch a supported browser via ZAP’s feature. The PTK icon appears immediately, allowing login to targets and initiation of scans. ZAP handles traffic capture, site tree, history, and session management, while PTK provides browser-native testing tools. PTK’s DAST enables runtime scans during normal browsing: start scan, navigate key flows like forms and admin pages, stop, and review findings. Ideal for SPAs reliant on user interactions, it recommends tuning requests per second and concurrency for production stability, with tight domain scoping to minimize noise. Findings integrate with ZAP for re-testing via request tools. IAST monitors browser runtime behavior, injecting agents during scans for signals beyond response analysis. Start monitoring, browse authenticated routes, then triage DOM mutations and client-side rendering issues. This excels in UI-state dependent apps, offering quick context for pen testers staying within the browser workflow. SAST analyzes inline and external scripts loaded in production, spotting sinks and patterns without repo access. Run on current pages, pivot findings to DAST/IAST for validation, especially useful for third-party scripts in SPAs. SCA reveals dependency risks from running apps, reviewing packages with ZAP context for loading behaviors. Request Builder facilitates rapid iteration: edit traffic from ZAP history, replay attacks, clone as cURL , or manipulate headers. JWT tools decode tokens, alter claims/algorithms, and test enforcement like exp or weak HMAC, replaying via ZAP for response diffs. Cookie tools enable editing, blocking, or exporting for session reproducibility. A practical routine starts with ZAP-proxied browser login, followed by PTK DAST/IAST during flows, SAST/SCA for static signals, and JWT/cookie validation. This combo leverages ZAP as the proxy hub and PTK for targeted browser testing, enhancing coverage on modern web apps. Emphasize permission-based active scans and conservative settings. The release, announced January 19, 2026, marks a milestone in ZAP-PTK synergy, developed with contributions from Denis Podgurskii. Pen testers gain efficient, context-aware testing for authenticated, dynamic applications. Follow us on Google News , LinkedIn , and X for daily cybersecurity updates. Contact us to feature your stories. The post ZAP Releases OWASP PenTest Kit Browser Extension for Application Security Testing appeared first on Cyber Security News .

Introduction: A Major Step Toward Realistic Web App Security Testing OWASP Zed Attack Proxy (ZAP) has taken a significant step forward in modern application security testing by officially integrating the OWASP PenTest Kit (PTK) browser extension. This move brings authenticated, browser-based testing directly into ZAP’s ecosystem, addressing long-standing challenges faced by security teams testing modern, dynamic web applications. With this integration, ZAP evolves from a powerful proxy scanner into a centralized hub for real-user, real-session security validation.

Introduction: In modern application security, the debate often falsely frames SAST, IAST, and DAST as competing methodologies. The paradigm-shifting approach, exemplified by the OWASP PTK (Pentesting Toolkit) correlation engine, is to leverage them as complementary forces. By correlating findings from all three angles—static code analysis, runtime instrumentation, and external attack simulation—security teams can transform speculative alerts into irrefutable, prioritized vulnerabilities, drastically reducing noise and accelerating remediation.

In June the OWASP PTK add-on graduated to beta with its integration now properly matching ZAP’s architecture, a security advisory was issued and patched for the Viewstate add-on, and the Client Spider...

The PTK add-on graduates to beta, the active scan rule is on by default, recommended rule defaults reduce noise by avoiding duplicate findings, and a new Engines tab gives you fine-grained control ove...

ZAP now has a dedicated PTK active scan rule, so you can run the PTK rules in the ZAP active scanner. And there are still more changes planned, but the results against Firing Range have been dramatic!

In May ZAP learned to scan MCP servers as a first-class target, OWASP PTK automation reached Phase 1, and the Params extension moved out of the core into its own add-on.

ZAP’s Automation Framework can now drive OWASP PTK scans using the Client Spider. This is an early release - we want you to try it and give us feedback while we work toward deeper integration with ZAP...

OWASP PTK 9.8.0 and the ZAP OWASP PTK add-on 0.3.0 now let ZAP display OWASP PTK findings directly as ZAP Alerts. This post shows how to install the add-on, choose which PTK rules to run (SAST / IAST ...

OWASP PTK is now pre-installed in the browsers launched by ZAP (Chrome, Edge and Firefox). This post shows how to run PTK’s DAST, IAST, SAST, and SCA inside the same authenticated session you’re testi...

The release of ZAP PTK Add-On 0.3.0, working in tandem with OWASP PenTest Kit (PTK) 9.8.0, now converts browser-based security findings directly into native ZAP alerts

The Zed Attack Proxy (ZAP) team has released the OWASP PTK add-on, version 0.2.0 alpha, integrating the OWASP Penetration Testing Kit (PTK) browser extension directly into ZAP-launched browsers.

The add-on automatically installs PTK into Chrome, Edge, and Firefox browsers launched directly from ZAP, eliminating the need for manual configuration

OWASP Zed Attack Proxy（ZAP）は、OWASP PenTest Kit（PTK）ブラウザ拡張機能の統合を開始し、認証済みアプリケーションセキュリティテストのための統合プラットフォームを提供します。 このアドオンは、ZAPから直接起動したChrome、Edge、FirefoxブラウザにPTKを自動的にインストールし、手動設定の必要をなくすことで、セキュリティ専門家が認証セッション内で包括的なテストを実施できるようにします。 PTKは、ブラウザセッションを信頼できる唯一の情報源として扱うことで、セキュリティテスト手法を根本的に変革します。 単独で動作する従来のスキャン手法とは異なり、PTKは認証済みのナビゲーション、シングルページアプリケーション（SPA）のルーティング、クライアント側の挙動、そして実際の利用時にアプリケーションが生成する正確なリクエストを取得します。 このアプローチは、フォーム、検索、管理インターフェース、チェックアウトプロセスといった正規のユーザーフローを通じた網羅的なカバレッジが求められる現代のWebアプリケーションにおいて、特に有効であることが示されています。 この統合により、ZAPはトラフィックとコンテキストの集中ハブとして位置づけられ、PTKは実行時スキャンと狙いを定めた脆弱性発見のためのブラウザ内セキュリティツールキットとして機能します。 セキュリティチームは、ZAPのトラフィック分析機能とPTKのブラウザネイティブなテストワークフローの両方に同時にアクセスできます。 PTKは、統一されたインターフェース内で4つの異なるテスト手法をサポートします。Dynamic Application Security Testing（DAST）は「閲覧しながらスキャンする」ワークフローを可能にし、テスターは実行時スキャンを開始して通常どおりにアプリケーション機能を操作し、その後停止して結果を確認します。 このアプローチにより、従来のスキャン手法では見逃される脆弱性を捉えることができます。 Interactive Application Security Testing（IAST）は、ブラウザ内の実行時挙動を計測し、認証済みルートおよびSPAのインタラクション中のシグナルを監視します。 Static Application Security Testing（SAST）は、ページに埋め込まれたスクリプトや外部JavaScriptを解析し、本番バンドル内の危険なシンクやリスクの高いパターンを特定します。 Software Composition Analysis（SCA）は、アプリケーションが実際に配信して実行するコンポーネントから、依存関係の脆弱性シグナルを可視化します。 中核となるテスト手法に加えて、PTKには一般的なセキュリティテストのシナリオに対応する専用ツールが含まれています。 JWTテストツールは、トークンの検査、クレームの変更、アルゴリズムの切り替え、有効期限・オーディエンス・発行者クレームの強制が適切に行われているかの検証を可能にします。 Request Builderは、セキュリティ専門家がリクエストを編集して再送し、狙いを定めた攻撃を実行し、トラフィックをcURL形式でエクスポートできるようにすることで、ハンズオンテストを加速します。 これにより、トラフィック分析中に特定された注目すべきリクエストに対して、仮説検証を迅速に行えます。 ノイズや意図しない対象外スキャンを防ぐため、ドメインスコープは厳密に保つべきです。ZAP-PTKの組み合わせワークフローは、認証済みの動的アプリケーションに対してコンテキストを踏まえたテストを提供しつつ、スキャン範囲と運用上の影響を精密に制御します。 インストールは3ステップで完了します。ZAP MarketplaceからOWASP PTKアドオンをインストールし、ZAPの機能でブラウザを起動し、PTK拡張機能のアイコンが表示されることを確認します。このアドオンは公式のZAP Marketplaceで入手できます。 翻訳元: