Exposiciones que no son CVE

El escáner compara versiones y respuestas contra una base de fallos conocidos. Por diseño no mira si un permiso es excesivo, si una política de almacenamiento deja leer a cualquiera o si una clave quedó en el historial de un repositorio. Esas exposiciones no son «peores» ni «mejores» que un CVE: son de otro tipo, y se encuentran con otras fuentes (revisión de configuración, búsqueda de secretos, revisión de permisos, conciliación de inventarios).

Consulta tipos_de_exposicion para ver el tipo y la fuente donde se busca. Un programa que solo mira el informe del escáner no ve una parte de la superficie.

Una credencial publicada, aunque sea sin querer, es una exposición con efecto directo: quien la lea puede usarla mientras no se revoque. No tiene CVE y ningún escáner de versiones la ve. Se encuentra con búsqueda de secretos sobre repositorios y se corrige revocándola y rotándola, no borrando el archivo: el historial la conserva.

En el laboratorio la clave es un marcador evidente, no una credencial real. Consulta exposiciones y localiza la de este tipo.

La columna lo_reporta_el_escaner dice si la exposición aparece en el informe del escáner de vulnerabilidades. Las que no aparecen son las que un programa basado solo en ese informe no vería nunca. Cuéntalas: ese es el tamaño del punto ciego.

La relación también corre al revés. Una exposición con CVE puede no tener efecto práctico: la biblioteca con fallo publicado que el servicio nunca carga (E-108) está en el informe y casi no importa; el panel sin autenticación (E-106) no tiene CVE y sí importa. Por eso la gestión de exposición no sustituye la priorización: la alimenta con más tipos de entrada y obliga a mirar el contexto.