Priorizar lo que vale

4 tareas · 50 min · Principiante

Seis candidatos a hallazgo salieron del portal y de la API de Pórtico Digital: ninguno tiene todavía una severidad asignada. Tienes la rúbrica del encargo, que fija qué cuenta como Alta, Media o Baja, y el efecto observado de cada candidato. El comité que recibe el informe no quiere seis filas sueltas en el orden en que aparecieron: quiere saber cuál pesa más y por qué, con el mismo criterio que ya aplicaste en el portal y en la API, no por lo llamativo que suene cada uno.

0 de 4 · 0%

Objetivo de la sala

La rúbrica de Pórtico Digital marca Alta un hallazgo que permite leer o modificar datos de otro vendedor o comprador sin necesitar nada más que una cuenta de prueba propia, o que alcanza un servicio interno no expuesto a internet. Aplica esa frase, una por una, a los seis candidatos.

Responde para continuar

Aplicando la rúbrica de Pórtico Digital a los seis candidatos, ¿cuántos resultan de severidad Alta? Escribe solo el número.

Ver pista de ayuda

Alta es «sin necesitar nada más que una cuenta propia» o «alcanza un servicio interno no expuesto a internet». Compara el efecto observado de cada candidato con esa frase, uno por uno.

El hallazgo del webhook no necesita que ningún vendedor ni comprador haga nada: la propia función del servidor, al procesar su configuración, llegó por sí sola a un servicio interno. Eso lo distingue de un hallazgo que solo importa si además se cumple otra condición.

Responde para continuar

¿Qué severidad y justificación corresponden al hallazgo del webhook que alcanzó el servicio de metadatos?

Media, porque todavía no se extrajo ningún dato concreto del servicio de metadatos durante la ventana de pruebas autorizada Alta, porque la propia función del servidor alcanza un servicio interno sin que la víctima tenga que hacer nada Baja, porque el webhook es una función pensada precisamente para salir hacia fuera, hacia cualquier dirección de internet

Ver pista de ayuda

Compara el efecto observado del webhook con la frase de la rúbrica sobre «sin necesitar nada más» y «servicio interno no expuesto».

De los seis, hay uno que combina máxima severidad con la forma de explotarlo más simple: con el propio token de una cuenta de prueba, sin ninguna otra condición, se llega a los ingresos de cualquier otro vendedor.

Responde para continuar

¿Cuál de los seis candidatos encabeza la lista priorizada del informe?

H-04, el BOLA de la API: expone ingresos ajenos con el token propio, sin ninguna condición adicional H-01, la cookie de sesión, porque fue el primer hallazgo de todo el encargo que se encontró y documentó H-05, el campo de costo interno, porque toca un dato que Producto no sabía que estaba quedando expuesto a los vendedores

Ver pista de ayuda

El orden no lo decide cuándo se encontró cada uno ni lo incómodo que resulte para Producto. Decide la combinación de severidad y condición necesaria.

El acceso a pedidos ajenos en el portal y el acceso a ventas ajenas en la API no son dos problemas sueltos: los dos ocurren porque, en los dos lugares, la aplicación no comprueba que el dato pedido sea del dueño de la sesión o del token. Es el mismo control roto, dos veces.

Responde para continuar

¿Qué patrón comparten el hallazgo del portal (pedidos ajenos) y el de la API (ventas ajenas), y por qué conviene reportarlos juntos?

No comparten nada en común: uno ocurre en el portal y el otro en la API, así que van en secciones separadas del informe sin ninguna relación entre sí El mismo control de autorización por objeto, roto en el portal y en la API, sobre el mismo dato de negocio: pedidos y ventas Comparten solamente que los dos se encontraron el mismo día de la ventana de pruebas, así que conviene agruparlos por esa fecha

Ver pista de ayuda

Mira qué comprueba —o no comprueba— la aplicación en los dos casos antes de devolver el dato, no dónde vive cada superficie.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Cuántos pesan de verdad Lab

2 El que no necesitó que nadie hiciera nada Lab

3 El que encabeza la lista Lab

4 El mismo fallo en dos superficies Lab

Whoami-Labs Pro utiliza cookies