Keamanan aplikasi web merupakan aspek penting, khususnya pada sistem yang mengelola data sensitif seperti website PCU Admission yang digunakan dalam proses penerimaan mahasiswa baru. Penelitian ini bertujuan menganalisis keamanan website PCU Admission dengan mengacu pada OWASP Top Ten 2021. Metode yang digunakan adalah hybrid penetration testing, yaitu kombinasi antara pemindaian otomatis menggunakan ZAProxy dan SQLmap dengan eksploitasi manual melalui Burp Suite. Hasil pengujian menunjukkan dari 15 eksploitasi yang diuji, 11 berhasil dijalankan sementara 4 gagal. Analisis risiko menggunakan CVSS v3.1 memperlihatkan tiga kerentanan dengan tingkat risiko tinggi, yaitu penyimpanan token autentikasi di localStorage, ketiadaan proteksi brute force login, serta manajemen sesi yang lemah. Delapan kerentanan lain berada pada kategori sedang. Pendekatan hybrid terbukti lebih efektif dibandingkan metode otomatis murni karena mampu mengidentifikasi lebih banyak kerentanan valid meskipun memerlukan waktu lebih lama. Kesimpulan dari penelitian ini adalah aplikasi relatif aman dari injeksi SQL dan serangan XSS, namun masih terdapat kelemahan serius pada aspek autentikasi, manajemen sesi, dan konfigurasi server yang perlu segera diperbaiki.