Más allá de la inyección

Cuando el código arma un comando del sistema pegando dentro un dato que llega del usuario —el nombre de un archivo, un parámetro— abre la puerta a la inyección de comandos: quien controla ese dato puede colar su propio comando y ejecutarlo en el servidor. En Cauce, el servicio de pagos construye un comando de exportación concatenando el nombre de archivo que envía el usuario. Es el mismo error de fondo que la inyección SQL —mezclar dato de fuera con una instrucción— en otra superficie. El arreglo también es el mismo en espíritu: pasar los argumentos por separado, sin construir la cadena del comando a mano.

Ver que inyección SQL e inyección de comandos comparten raíz —dato del usuario mezclado con una instrucción— es lo que permite reconocer la familia entera.

El análisis estático también reconoce criptografía rota. En Cauce, las contraseñas de los usuarios se guardan con un resumen rápido y sin sal: un algoritmo pensado para ser veloz, no para resistir, y sin un valor único por usuario que impida precalcular. Si alguien se lleva esa tabla, revierte las contraseñas con listas ya calculadas. El arreglo no es ocultar el código: es usar un algoritmo de hashing de contraseñas diseñado para ser costoso de revertir, con una sal distinta por cada usuario.

Reconocer que «guarda contraseñas» con un resumen rápido es un hallazgo real, y no un detalle de implementación, es lo que lo saca del olvido antes de una filtración.

Como en la sala anterior, el umbral se fija por severidad y por dónde cae el hallazgo. La inyección de comandos en el camino de pagos es crítica y explotable: se para, ese código no se fusiona hasta arreglarlo. El hashing débil de contraseñas es grave y hay que corregirlo, pero no siempre bloquea el mismo día si no está en el camino directo del cambio; se trata con prioridad alta. Y un aviso de estilo, sin datos de usuario, se registra sin bloquear. La forma se parece entre hallazgos; lo que decide es la severidad y el impacto real.

Separar lo que para de lo que se atiende con prioridad, en vez de bloquear por todo o dejar pasar todo, es lo que mantiene el control vivo.

Abre el laboratorio de la segunda pasada del análisis de Cauce y lee la salida de Semgrep. Hay tres entradas: la inyección de comandos en el camino de pagos, el hashing débil de contraseñas y un aviso de estilo. Quédate con la crítica de inyección de comandos.