Alcanzable vs. presente

Un análisis de composición (SCA) recorre las dependencias de un servicio y marca cada una que coincide con una vulnerabilidad publicada. Es una lectura de presencia. Para pasar de presencia a alcance se necesitan dos respuestas más: si la función vulnerable llega a ejecutarse en esta aplicación y si un atacante podría hacerla llegar desde donde está (internet o la red interna).

Un hallazgo presente y no alcanzable no se ignora: se deja constancia con evidencia, se baja su prioridad y se actualiza cuando convenga.

El informe sca-portal-pedidos.csv dice, para cada hallazgo, qué función es la vulnerable. El perfil de ejecución (perfil-de-ejecucion.csv) dice qué funciones se llamaron en producción durante 30 días y cuántas veces. Cruzar ambos archivos separa los hallazgos cuya función se usa de los que no.

Que la función se ejecute no basta: importa desde dónde. Una llamada que se origina en una ruta pública está al alcance de cualquiera que llegue al servicio; una originada en una tarea programada interna exige que el atacante ya esté dentro. El perfil trae el origen de las llamadas y exposicion-portal-pedidos.txt dice qué entradas son públicas.

Un perfil de ejecución es evidencia de lo que ocurrió mientras se observó. El de esta tarea cubre 30 días y su propio archivo de exposición advierte lo que no cubre. Declarar inalcanzable una función porque no se llamó en ese plazo es una conclusión con fecha de revisión, no un hecho permanente.

El borrador VEX marca dos CVE como not_affected con la justificación vulnerable_code_not_in_execute_path (el código vulnerable no está en la ruta de ejecución). Esa justificación es válida solo si la evidencia la respalda. Contrasta cada declaración del borrador con el perfil de ejecución.