Loading
_ DESCIFRANDO CONEXIÓN SEGURA...
whoami-labs PRO
Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — el panel de administración de Hostales Tierrabomba

5 tareas · 55 min · Principiante

Otra empresa y nadie te dice dónde mirar. Hostales Tierrabomba administra sus hostales desde un panel con formularios heredados y una API nueva que comparten la misma sesión. En una semana apareció un administrador que nadie creó, se aprobaron reembolsos que nadie recuerda y una tarifa cambió sola. Con autorización escrita te pide revisar sus protecciones contra peticiones entre sitios. La fecha de la revisión es el 18 de noviembre de 2026. En la estación tienes las rutas, el código de los dos controles, las cookies, los hosts, las reservas y el registro del panel. No hay pistas.

0 de 5 · 0%

Objetivo de la sala

Otra empresa y nadie te dice dónde mirar. Hostales Tierrabomba administra sus hostales desde un panel con formularios heredados y una API nueva que comparten la misma sesión. En una semana apareció un administrador que nadie creó, se aprobaron reembolsos que nadie recuerda y una tarifa cambió sola. Con autorización escrita te pide revisar sus protecciones contra peticiones entre sitios. La fecha de la revisión es el 18 de noviembre de 2026. En la estación tienes las rutas, el código de los dos controles, las cookies, los hosts, las reservas y el registro del panel. No hay pistas.

Empieza por el control que debía frenar el alta de cuentas.

Responde para continuar

¿Qué ruta que crea cuentas del panel quedó fuera de la verificación del token? Escríbela tal como aparece en el código.

Ubica en el registro la creación de la cuenta que preocupa al cliente.

Responde para continuar

¿Con la sesión de qué administrador se creó la cuenta que nadie pidió? Escribe la cuenta tal como aparece en el registro.

Revisa por qué la API nueva aceptó un cambio de tarifa que nadie hizo desde el panel.

Responde para continuar

¿Desde qué host del mismo sitio aceptó la API el cambio de tarifa no deseado? Escribe el host sin esquema.

Revisa qué tipo de cuerpo admite la API que un formulario de otra página puede enviar sin consulta previa.

Responde para continuar

¿Qué tipo de contenido acepta la API nueva que un formulario HTML puede enviar? Escríbelo tal como aparece en el código.

Mide los reembolsos que salieron por peticiones originadas fuera del panel.

Responde para continuar

¿Cuántos pesos se reembolsaron con peticiones que llegaron desde páginas de fuera del panel? Escribe solo el número, sin puntos.

Inicia sesión para registrar tus puntos y progreso en el ranking.
Entrar · Registrarse

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad