Web Forms è un vecchio modello di applicazione ASP.NET basato su controlli server, eventi del ciclo di vita della pagina e stato nascosto come ViewState. Invece di considerare ogni richiesta come un caricamento di pagina perlopiù indipendente, Web Forms mantiene un modello di programmazione più orientato allo stato che consente ai controlli di ricordare valori e comportamento tra una richiesta e l'altra.
Questo è importante per la sicurezza perché le funzionalità con stato creano ulteriori confini di fiducia. Se ViewState, i dati dei controlli, la logica di caricamento dei file o la gestione crittografica correlata sono configurati in modo errato o presentano difetti, gli aggressori possono essere in grado di manomettere lo stato dell'applicazione, recuperare informazioni sensibili o concatenare una piccola debolezza in un impatto lato server. Negli attacchi reali, le applicazioni Web Forms spesso espongono controlli legacy di terze parti, gestori di eventi personalizzati e formati di stato crittografati progettati per la comodità piuttosto che per una superficie di attacco minima. I difensori dovrebbero censire queste applicazioni, mantenere aggiornati il framework sottostante e i controlli, disabilitare le funzionalità non necessarie, proteggere lo stato con chiavi forti e convalidarlo, e rivedere la gestione degli errori perché differenze visibili nelle risposte di errore possono diventare segnali di attacco.