Diccionario

XSS

Cross-Site Scripting

Cross-Site Scripting (XSS) es una vulnerabilidad que permite a un atacante inyectar código JavaScript malicioso en páginas web vistas por otros usuarios. El navegador de la víctima ejecuta el script creyendo que proviene de una fuente legítima, lo que permite robar cookies, tokens de sesión o redirigir al usuario a sitios maliciosos.

SSRF

Server-Side Request Forgery

Server-Side Request Forgery (SSRF) es una vulnerabilidad que permite a un atacante hacer que el servidor realice peticiones HTTP a destinos arbitrarios. Esto puede exponer servicios internos, metadatos de la nube (como credenciales de AWS/GCP) y permitir escanear la red interna de la organización.

SQLi

SQL Injection

SQL Injection (SQLi) es una vulnerabilidad que permite a un atacante interferir con las consultas SQL que una aplicación envía a su base de datos. Mediante la inyección de código SQL malicioso en campos de entrada, el atacante puede leer, modificar o eliminar datos, e incluso ejecutar comandos en el sistema operativo.

IDOR

Insecure Direct Object Reference

Insecure Direct Object Reference (IDOR) es una vulnerabilidad de control de acceso donde la aplicación expone referencias directas a objetos internos (como IDs de base de datos) sin verificar que el usuario tenga autorización para acceder a ellos. Un atacante puede manipular estas referencias para acceder a datos de otros usuarios.

CSRF

Cross-Site Request Forgery

Cross-Site Request Forgery (CSRF) es una vulnerabilidad que permite a un atacante engañar al navegador de un usuario autenticado para que envíe peticiones no deseadas a una aplicación web. Como el navegador incluye automáticamente las cookies de sesión, la aplicación procesa la petición como si fuera legítima.

Open Redirect

Open Redirect / Redirección Abierta

Open Redirect es una vulnerabilidad que ocurre cuando una aplicación web redirige a los usuarios a una URL proporcionada por un parámetro sin validación adecuada. Los atacantes la explotan para redirigir víctimas a sitios de phishing usando un enlace aparentemente legítimo del dominio confiable.

XXE

XML External Entity Injection

XML External Entity (XXE) es una vulnerabilidad que explota la funcionalidad de entidades externas en parsers XML. Cuando una aplicación procesa XML de entrada sin deshabilitar las entidades externas, un atacante puede leer archivos del servidor, realizar SSRF o provocar denegación de servicio.

Path Traversal

Path Traversal / Directory Traversal

Path Traversal es una vulnerabilidad que permite a un atacante acceder a archivos y directorios fuera del directorio raíz de la aplicación mediante secuencias como ../. El atacante puede leer archivos sensibles del sistema operativo, código fuente de la aplicación o archivos de configuración con credenciales.

LFI

Local File Inclusion

Local File Inclusion (LFI) es una vulnerabilidad que permite a un atacante incluir archivos locales del servidor a través de la manipulación de parámetros de entrada. A diferencia del Path Traversal que solo lee archivos, LFI puede ejecutar código si el archivo incluido contiene código del lenguaje del servidor (PHP, JSP, etc.).

CORS Misconfiguration

Cross-Origin Resource Sharing Misconfiguration

Una mala configuración de CORS ocurre cuando un servidor define políticas de Cross-Origin Resource Sharing demasiado permisivas, permitiendo que sitios web maliciosos lean respuestas de la API autenticada. Esto puede permitir el robo de datos sensibles del usuario desde un dominio controlado por el atacante.

SSTI

Server-Side Template Injection

Server-Side Template Injection (SSTI) ocurre cuando la entrada del usuario se inserta directamente en una plantilla del servidor (Jinja2, Twig, Freemarker, etc.) sin sanitización. El atacante puede inyectar expresiones del motor de plantillas para ejecutar código arbitrario en el servidor.

Command Injection

OS Command Injection

Command Injection es una vulnerabilidad que permite a un atacante ejecutar comandos del sistema operativo en el servidor a través de una aplicación vulnerable. Ocurre cuando la aplicación pasa entrada del usuario directamente a funciones de ejecución de comandos del sistema (exec, system, popen, etc.).

Race Condition

Race Condition / Condición de Carrera

Una Race Condition es una vulnerabilidad que ocurre cuando el comportamiento de una aplicación depende de la secuencia o timing de eventos no controlados. En aplicaciones web, un atacante puede enviar múltiples peticiones simultáneas para explotar ventanas de tiempo donde las validaciones de seguridad no se aplican atómicamente.

Clickjacking

Clickjacking / UI Redressing

Clickjacking es un ataque que engaña al usuario para que haga clic en elementos de una página web legítima que está oculta en un iframe transparente. El atacante superpone su propia página sobre la página objetivo, de modo que cuando el usuario cree que está interactuando con la página visible, en realidad está haciendo clic en la página oculta.

Subdomain Takeover

Subdomain Takeover ocurre cuando un subdominio apunta (vía CNAME o A record) a un servicio externo que ya no está en uso o no ha sido reclamado. Un atacante puede registrar ese servicio externo y tomar control del subdominio, pudiendo servir contenido malicioso, robar cookies del dominio padre o realizar phishing convincente.

CRLF Injection

CRLF Injection / HTTP Response Splitting

CRLF Injection ocurre cuando un atacante puede inyectar caracteres de retorno de carro (\r) y nueva línea (\n) en las cabeceras HTTP de la respuesta. Esto permite dividir la respuesta HTTP, inyectar cabeceras arbitrarias, establecer cookies maliciosas o incluso inyectar contenido HTML/JavaScript en el cuerpo de la respuesta.

Host Header Injection

Host Header Injection es una vulnerabilidad que ocurre cuando una aplicación confía ciegamente en el valor del encabezado Host de la petición HTTP. Un atacante puede manipular este encabezado para envenenar enlaces de restablecimiento de contraseña, manipular el enrutamiento, o envenenar cachés web.

HTTP Smuggling

HTTP Request Smuggling

HTTP Request Smuggling es una vulnerabilidad que explota las discrepancias en cómo servidores front-end (proxies, balanceadores) y back-end interpretan los límites entre peticiones HTTP. El atacante envía peticiones ambiguas que son procesadas de forma diferente, permitiendo 'contrabandear' una petición dentro de otra.

Prototype Pollution

Prototype Pollution es una vulnerabilidad específica de JavaScript que permite a un atacante modificar el prototipo de objetos base (Object.prototype). Al inyectar propiedades en el prototipo, todos los objetos de la aplicación heredan estas propiedades, lo que puede llevar a XSS, bypass de seguridad o ejecución remota de código.

DOM Clobbering

DOM Clobbering es una técnica de ataque web donde el atacante inyecta elementos HTML que sobrescriben propiedades globales del DOM de JavaScript. Usando atributos como id o name en elementos HTML, se crean referencias globales que pueden reemplazar variables, objetos o funciones que el código JavaScript espera, alterando su comportamiento.

Cache Poisoning

Web Cache Poisoning

Web Cache Poisoning es una vulnerabilidad que explota el comportamiento de cachés web (CDNs, proxies) para almacenar y servir respuestas maliciosas a otros usuarios. El atacante envía una petición con cabeceras o parámetros que no son parte de la clave de caché pero sí afectan la respuesta, haciendo que la versión envenenada se sirva a todos los visitantes.

Mass Assignment

Mass Assignment / Asignación Masiva

Mass Assignment es una vulnerabilidad que ocurre cuando una aplicación asigna automáticamente los valores de una petición HTTP a los campos de un modelo u objeto de datos sin filtrar qué campos pueden ser modificados. Un atacante puede agregar campos adicionales a la petición para modificar atributos sensibles como el rol, el estado o el precio.

Broken Access Control

Broken Access Control / Control de Acceso Roto

Broken Access Control engloba todas las fallas donde los usuarios pueden actuar fuera de sus permisos previstos. Incluye escalada de privilegios horizontal (acceder a datos de otros usuarios del mismo rol) y vertical (realizar acciones de un rol superior). Es la vulnerabilidad #1 del OWASP Top 10 2021.

NoSQL Injection

NoSQL Injection es una vulnerabilidad que permite a un atacante interferir con las consultas de bases de datos NoSQL (como MongoDB, CouchDB) mediante la inyección de operadores o expresiones maliciosas. A diferencia de SQL Injection, explota la estructura de consultas basadas en objetos JSON y operadores específicos del DBMS.