Funcionalidades que piden recursos afuera

Cuando el navegador de una persona pide una imagen, la petición sale de su casa o de su oficina: alcanza lo que alcanza cualquiera desde internet. Cuando la pide el servidor en nombre de esa persona, sale desde dentro del centro de datos, con la vista que tiene el servidor: bases de datos, paneles internos, servicios de administración que nadie publicó.

Esa diferencia es toda la debilidad. MITRE la cataloga como CWE-918, falsificación de petición del lado del servidor, en su nivel base; la edición de 2025 del Top 10 de OWASP la trae entre las debilidades que mapea su categoría de control de acceso roto, y el Top 10 de seguridad de APIs de 2023 le dedica su entrada API7. No hace falta que la función devuelva lo que encontró: basta con que llegue. La primera tarea de quien audita no es buscar el fallo, sino levantar la lista de sitios donde el servidor sale a pedir algo.

Abre el laboratorio y lee inventario-salientes.csv. Cada fila dice de dónde sale la dirección que se pide y qué comprobación hay antes de pedirla. Después abre ConversorController.php y VistaPreviaController.php y compáralos: uno comprueba el destino contra una lista y el otro tiene un comentario pendiente desde 2025.

No todas las filas pesan igual. La que importa es la que junta las dos cosas: la dirección la escribe quien usa el portal y nada revisa a dónde va.

El informe no dice «hay un SSRF»: dice cuántos puntos de salida dependen de una dirección que decide alguien de fuera. Cuenta las filas del inventario cuya dirección la escribe o la guarda una persona usuaria del portal. Deja fuera las que no manejan dirección, las que la traen de la configuración y la que teclea soporte al aprobar un ticket.

salida-portal.log anota a qué conectó cada servicio, y mapa-red.txt dice qué hay en cada rango. Crúzalos: hay conexiones de un servicio hacia direcciones que el mapa marca como internas. El registro no explica por qué; explica que ocurrió, y eso es lo que convierte una sospecha de revisión de código en un hallazgo con evidencia.