Próximamente · 7 labs

Próximos labs en BBLABS

Esto es lo que se viene. Suscríbete para acceder en cuanto se publiquen — sin esperas, sin spoilers tardíos.

#1Inminente
martes, 17 de noviembre de 2026, 14:00

Lectura de conversaciones privadas en un clon de WhatsApp Web: IDOR de chat, IDOR de reenvío, JWT sin firmar, Web Cache Deception y XSS almacenado

Este hackeo se reportó sin recompensa
Difícil
HackerOne
~90 min
#IDOR#Auth Bypass#XSS#Information Disclosure
Por @gorka
#2
martes, 24 de noviembre de 2026, 14:00

Geolocalización de la dirección real de una creadora en una red social de fotos (EXIF, geotag automático, over-share de ubicación, IP-leak y XSS)

Este hackeo se reportó sin recompensa
Difícil
HackerOne
~45 min
#Information Disclosure#XSS#BAC#API Abuse
Por @gorka
#3
martes, 1 de diciembre de 2026, 14:00

Escalada de privilegios en un clon de Discord: IDOR, Web Cache Deception, mass assignment, XSS y JWT sin firmar hasta control total

Este hackeo se reportó sin recompensa
Difícil
HackerOne
~100 min
#IDOR#BAC#Auth Bypass#XSS#Privesc#Information Disclosure
Por @gorka
#4
martes, 8 de diciembre de 2026, 14:00

SQLi en el login abre una cadena de IDOR que filtra la facturación de toda una tienda de tecnología

Este hackeo se reportó sin recompensa
Difícil
HackerOne
~45 min
#SQLi#IDOR#BAC#Information Disclosure#Auth Bypass
Por @gorka
#5
martes, 15 de diciembre de 2026, 14:00

Una cadena de 5 fallos de lógica de negocio permite vaciar carteras ajenas y retirar 1.000 € desde un monedero que empieza con 1 €

Este hackeo se reportó sin recompensa
Difícil
HackerOne
~55 min
#Race Condition#IDOR#Business Logic#BAC#API Abuse
Por @gorka
#6
martes, 22 de diciembre de 2026, 14:00

13 fallos de lógica de negocio en un programa de referidos: dinero infinito y robo de sesión de staff

Este hackeo se reportó sin recompensa
Difícil
HackerOne
~60 min
#Business Logic#IDOR#Race Condition#API Abuse#XSS#BAC
Por @gorka
#7
martes, 29 de diciembre de 2026, 14:00

Del portal público al enclave de claves: SQLi, LFI, IDOR, SSRF, SSTI y RCE en el sitio de una agencia espacial

Este hackeo se reportó sin recompensa
Difícil
HackerOne
~90 min
#SQLi#Path Traversal#IDOR#SSRF#RCE
Por @gorka

Acceso inmediato

En cuanto se publican, son tuyos

Nuevos labs cada semana basados en hackeos reales. Cancela cuando quieras.

Crea tu cuenta y reserva tu sitio
4.619

hunters entrenando

70

labs de hackeos reales

2.185

completaciones

$14.790

pagados por estos bugs

36 flags capturadas este mes·Hackeos reales de HackerOne · YesWeHack · Bugcrowd·Sin permanencia·Academy gratis
Gratis · sin cuenta

La checklist que repaso en cada objetivo nuevo

47 comprobaciones ordenadas por coste: primero lo que te puede meter en un lío, luego lo barato, y al final lo caro — que es donde están los bounties grandes. Te la mando al correo ahora mismo.

Te das de baja en un clic, desde cualquier correo.

BBLabs · bug bounty en español

Deja de leer sobre bugs y empieza a cazarlos

Crea tu cuenta gratis y practica sobre labs basados en hackeos reales que pagaron miles de euros. La Academy es gratis para siempre.

Crear cuenta gratisVer los labs

Sin tarjeta · Academy gratis · cancela cuando quieras

La comunidad

Esto no es una plataforma con usuarios.Es gente rompiendo lo mismo que tú.

Dentro se pregunta, se enseña lo que se ha encontrado y se resuelve en grupo lo que atascaría a cualquiera solo. Se entra gratis: sin cuenta, sin plan y sin dejar el correo.

Entrar a la comunidad de BBLABS en Discord
Entrar al Discord

Es gratis y abierto. No hace falta tener cuenta en BBLABS para entrar.