Elegir el CWE correcto entre parecidos

Tres entradas del catálogo describen fallos de autorización y se confunden a diario. En una no hay ninguna comprobación: la acción se ejecuta para cualquiera que llegue. En otra la comprobación existe pero decide mal: una regla equivocada, una comparación floja. Y hay una base más concreta para un caso muy común en la web: la aplicación decide sobre un objeto usando el identificador que manda el usuario y no comprueba que ese objeto sea suyo.

Exigir sesión no es comprobar permiso. Una ruta que solo pide haber iniciado sesión deja entrar a todos los clientes, y eso no dice nada sobre si el objeto pedido es de quien lo pide. Lee la nota de PP-201 en notas-de-hallazgos.txt y la guía pares-que-se-confunden.txt.

El caso contrario también aparece mal etiquetado: una ruta de administración a la que le falta por completo el control de rol suele llegar con la etiqueta de «autorización incorrecta», como si hubiera una regla que se equivocó. Si no hay regla, no hay nada que se equivoque, y la corrección es distinta: añadir la comprobación, no arreglar una existente.

«Exposición de información sensible» es una de las etiquetas más usadas y una de las menos útiles: describe lo que pasó (alguien vio lo que no debía), no por qué pasó. El catálogo la marca como desaconsejada y pide buscar la causa concreta: ¿lo que habla de más es un mensaje de error, un archivo de registro, una respuesta que incluye campos de sobra?

PP-204 llegó con la etiqueta del efecto. Su nota dice qué es exactamente lo que muestra la información.

Con la guía en la mano, revisa las siete notas. Para cada una, haz la pregunta que separa su par: ¿hay comprobación o no la hay?, ¿la información sale por un error o por otra vía?, ¿quien hace la petición es el servidor o el navegador?, ¿el inicio de sesión falla por no limitar intentos o por otra cosa? Algunas propuestas están bien y se dejan como están.

Cada año MITRE publica la lista de las 25 debilidades más peligrosas. Se arma con las vulnerabilidades publicadas: pesa cuántas veces aparece cada debilidad y lo graves que suelen ser. Sirve para decidir qué prevenir primero, en formación, en revisión de código y en pruebas. No sirve para etiquetar: en ella entran también entradas generales, porque así venían etiquetadas muchas vulnerabilidades publicadas. Mira top25-2025.txt.