A continuación encontrarás el OWASP Top 10 más reciente, con definiciones, ejemplos, consecuencias reales y estrategias de prevención para cada vulnerabilidad.

1. Control de acceso roto

• Definición: Explotar debilidades en cómo se aplican los permisos y las autorizaciones.

• Ejemplo: Un usuario obtiene privilegios de administrador al alterar una URL o una solicitud de API.

• Consecuencia: Filtración de datos, escalada de privilegios o compromiso del sistema.

• Prevención:

• Implementa control de acceso basado en roles.

• Usa sistemas de autenticación basados en token de autenticación.

2. Fallas criptográficas

• Definición: Métodos de cifrado deficientes exponen datos sensibles.

• Ejemplo: Transmitir contraseñas sin cifrado SSL.

• Consecuencia: Robo de datos e incumplimientos normativos.

• Prevención:

• Usa protocolos de cifrado robustos y evita codificar credenciales directamente en el código.

3. Inyección

• Definición: Se envía código malicioso a un intérprete, como en la inyección SQL o NoSQL.

• Ejemplo: Un atacante ejecuta consultas SQL no autorizadas a través de formularios web.

• Consecuencia: Filtraciones de bases de datos o toma de control del sistema.

• Prevención:

• Usa consultas parametrizadas y depura la entrada del usuario.

4. Diseño inseguro

• Definición: Decisiones arquitectónicas débiles generan vulnerabilidades inherentes.

• Ejemplo: Usar preguntas de recuperación obsoletas como “¿Cuál es el apellido de soltera de tu madre?”

• Consecuencia: Los atacantes pueden adivinar o eludir fácilmente las medidas de seguridad.

• Prevención:

• Incorpora el modelado de amenazas en la fase de diseño.

5. Configuración de seguridad incorrecta

• Definición: Configuraciones predeterminadas o funciones innecesarias que exponen los sistemas.

• Ejemplo: Usar credenciales de administrador predeterminadas.

• Consecuencia: Aumento drástico de las superficies de ataque.

• Prevención:

• Realiza revisiones periódicas de configuración.

• Desactiva las funciones que no se usen.

6. Componentes vulnerables y desactualizados

• Definición: Usar dependencias desactualizadas con vulnerabilidades conocidas.

• Ejemplo: Ejecutar versiones anteriores de bibliotecas de código abierto.

• Consecuencia: Compromiso del sistema a través de software desactualizado.

• Prevención:

• Actualiza siempre los frameworks y las bibliotecas.

• Elimina los componentes que no se usen.

7. Fallas de identificación y autenticación

• Definición: Mecanismos de autenticación débiles comprometen la integridad de las credenciales del sistema.

• Ejemplo: Un ataque de fuerza bruta a una página de inicio de sesión.

• Consecuencia: Acceso al sistema por parte de usuarios no autorizados.

• Prevención:

• Exige autenticación de dos factores.

• Usa bloqueos de cuenta tras fallos repetidos de inicio de sesión.

8. Fallas de integridad de software y datos

• Definición: La integridad del sistema se compromete debido a actualizaciones sin verificar o mecanismos en vivo.

• Ejemplo: Una actualización maliciosa en una API de terceros que causa caos.

• Consecuencia:

• Implementación de actualizaciones fraudulentas o corrupción de datos.

• Prevención:

• Firma digitalmente todas las actualizaciones y usa canalizaciones seguras de CI/CD.

9. Fallas de registro y monitoreo de seguridad

• Definición: No detectar ni registrar actividad anómala.

• Ejemplo: Brechas que pasan desapercibidas durante meses.

• Consecuencia:

• Mayor impacto de los incidentes de seguridad.

• Prevención:

• Implementa registros robustos y alertas de incidentes.

10. Falsificación de solicitudes del lado del servidor (SSRF)

• Definición: Una aplicación obtiene recursos no deseados debido a solicitudes malformadas.

• Ejemplo: Un atacante lee archivos sensibles al explotar vulnerabilidades SSRF.

• Consecuencia:

• Exposición de recursos internos sensibles.

• Prevención:

• Valida y depura las URL de entrada.