Una vulnerabilità one-click è una falla di sicurezza che può essere attivata da una singola azione dell'utente, come fare clic su un link, aprire un messaggio o toccare un pulsante. L'azione può sembrare innocua, ma può attivare logica nascosta in un'app web, in un client o in un servizio connesso e indurre il sistema a fare qualcosa che l'utente non aveva intenzione di fare.
Queste falle sono importanti perché riducono drasticamente lo sforzo dell'attaccante: niente furto di password, niente catena di exploit complessa, solo un'interazione convincente. Negli attacchi reali, i bug one-click vengono spesso usati per abuso di account, accesso non autorizzato ai dati, manipolazione della sessione o prompt injection contro assistenti IA che dispongono già di autorizzazioni. Le difese si concentrano sul ridurre ciò che un singolo clic può fare: richiedere una conferma più forte per le azioni sensibili, limitare i permessi delegati, convalidare i reindirizzamenti e le azioni lato server e monitorare eventuali accessi insoliti dopo l'interazione dell'utente. I team di sicurezza dovrebbero considerare come parte della superficie di attacco qualsiasi funzionalità che possa raggiungere altri servizi da una sessione autenticata.