Del hallazgo al informe

Un informe que dice la aplicacion tiene un fallo de acceso obliga a desarrollo a buscarlo. Uno util dice el archivo y la ruta exactos. En Ferrolar el fallo esta en panel.php: la ruta /panel renderiza la administracion sin comprobar que el usuario sea administrador. El auditor anota la ubicacion precisa —archivo y ruta— porque es lo que convierte un hallazgo en algo accionable.

Lo primero de un buen hallazgo es donde esta, con la precision de quien va a abrir ese archivo a arreglarlo.

La severidad ordena el trabajo de quien arregla, asi que tiene que ser honesta. Se fija por impacto y exposicion, no por lo vistoso del fallo. El de Ferrolar expone los datos de todos los usuarios a cualquiera que entre a una ruta que deberia ser solo de administradores: impacto alto. El borrador lo marca como Alta, y el auditor lo confirma con ese criterio, no por intuicion. Inflar o rebajar la severidad descoloca la cola de arreglos de todo el equipo.

La escala del laboratorio —Critica, Alta, Media, Baja— esta para usarse con criterio, no para repartir etiquetas al azar.

El informe se cierra con un arreglo concreto, no con asegurar el panel. Para este fallo el arreglo es exigir el rol de administrador en el servidor antes de renderizar la ruta, y la clasificacion que lo acompana es autorizacion ausente (CWE-862). Un arreglo escrito asi —comprobacion en servidor, con su CWE— le dice a desarrollo exactamente que anadir y por que. El auditor prefiere el arreglo preciso al consejo generico siempre.

Asegurar o revisar permisos no es accionable; exigir el rol en el servidor antes de renderizar si lo es.

El borrador de informe de Ferrolar reune ubicacion, clasificacion, severidad y arreglo, y queda listo para enviar a desarrollo con un codigo que lo identifica. Abrelo en el laboratorio y lee el codigo del hallazgo con el que cierra.