Guías

Las vulnerabilidades de lógica de negocio son las que pasan completamente desapercibidas para los escáneres. Sin CVE, sin entrada en exploit-db, sin plantilla de Nuclei. Solo una brecha entre lo que la aplicación pretende hacer y lo que realmente hace cuando la presionas desde un ángulo inesperado. También son algunos de los hallazgos más valiosos que puedes reportar. Alto impacto en el negocio, difíciles de detectar automáticamente, y con frecuencia llevan años en producción porque nadie pensó en probarlas. ...

La deserialización insegura le ha dado RCE a atacantes en algunos de los entornos empresariales más protegidos del planeta: Apache, Jenkins, JBoss, WebLogic, Oracle y más. Un único objeto malformado puede eludir la autenticación, ejecutar código arbitrario o borrar toda la base de datos. Esta guía cubre detección, explotación, gadget chains y bypass de WAF para Java, PHP, Python y .NET en 2026. ¿Qué es la Deserialización? La serialización convierte un objeto en memoria en un formato que puede almacenarse o transmitirse: bytes, JSON, XML, binario. La deserialización invierte el proceso: toma el formato almacenado y reconstruye el objeto. ...

La inyección de plantillas del lado del servidor (SSTI, por sus siglas en inglés) es una de las vulnerabilidades web más peligrosas que vas a encontrar en un pentest. Un simple {{7*7}} en el campo correcto puede darte ejecución remota de código completa en un servidor de producción. Esta guía cubre todo: detección, fingerprinting, explotación, bypass de WAF y defensa, para todos los motores de plantillas principales en 2026. ¿Qué es SSTI? Los frameworks web usan motores de plantillas para renderizar contenido dinámico — Flask con Jinja2, aplicaciones PHP con Twig, aplicaciones Java con FreeMarker. Cuando la entrada del usuario se concatena directamente en una cadena de plantilla en lugar de pasarse como variable, el motor de plantillas la evalúa. Eso es SSTI. ...

Las vulnerabilidades de inclusión de archivos son engañosamente simples en apariencia: convences a una aplicación de que cargue un archivo que no debería. Pero los caminos de explotación que abren van desde la divulgación de datos sensibles hasta la ejecución remota de código completa. Log poisoning, cadenas de filtros PHP, inyección en archivos de sesión, trucos con null bytes — esta clase de vulnerabilidad tiene más profundidad que la mayoría. ...

La inyección de comandos es una de las clases de vulnerabilidad más peligrosas en seguridad web. No porque sea sutil — en realidad es uno de los caminos más directos hacia el compromiso total de un sistema. Inyectas un comando de shell a través de una entrada web, el servidor lo ejecuta, y de repente estás corriendo código arbitrario en la infraestructura de alguien. OWASP ha mantenido la inyección en su Top 10 por más de una década con razón. Cuando encuentras command injection, el juego cambia. No es “puedo leer un registro que no debería”. Es “este servidor es mío”. ...

La Referencia Directa a Objetos Inseguros (IDOR, por sus siglas en inglés) es consistentemente una de las vulnerabilidades de mayor impacto en aplicaciones web y APIs — y una de las más fáciles de pasar por alto en un pentest estándar si no sabes dónde buscar. No requiere payloads complejos. Sin corrupción de memoria. Sin shellcode personalizado. Encuentras un ID, lo cambias por otro, y de repente estás leyendo los datos de otra persona. O borrándolos. O tomando el control de su cuenta. ...

La inyección de XML External Entity (XXE) es una de las vulnerabilidades más peligrosas en aplicaciones web — capaz de leer archivos del servidor, desencadenar SSRF y lograr ejecución remota de código en las condiciones correctas. Lleva años en el OWASP Top 10 y sigue presente en sistemas en producción. El motivo: los desarrolladores habilitan parsers XML con procesamiento de entidades externas activado por defecto y nunca lo desactivan. Esta guía cubre detección, explotación, exfiltración de datos fuera de banda, XXE ciego y bypass de WAF — con payloads listos para usar en tu próximo pentest. ...

El Server-Side Request Forgery (SSRF) es una de las vulnerabilidades web más peligrosas y explotadas de los últimos cinco años. Entró en el OWASP Top 10 en 2021 y ha sido utilizada en algunas de las brechas más grandes de la historia del cloud, incluyendo la de Capital One que expuso 100 millones de registros. Si en 2026 estás haciendo pentesting de aplicaciones web o bug bounty y no estás buscando SSRF de forma sistemática, estás dejando dinero y flags sobre la mesa. ...

Cross-site request forgery es una de esas vulnerabilidades que parecen simples hasta que intentas explotarlas en una aplicación moderna. En teoría: engañar al navegador de una víctima para que realice una solicitud autenticada hacia un sitio objetivo. En la práctica: la validación de tokens CSRF, las políticas de cookies SameSite y las verificaciones de Referer lo han hecho significativamente más difícil, pero no imposible. En 2026, el CSRF puro es menos común en plataformas grandes, pero sigue apareciendo con regularidad en herramientas internas, aplicaciones empresariales heredadas, APIs construidas a medida y cualquier aplicación que implemente la protección CSRF de forma descuidada. Y cuando los tokens CSRF están presentes pero mal configurados, el bypass suele ser trivialmente sencillo. ...

El cross-site scripting lleva roto desde que existe la web. En 2026, sigue apareciendo en todas partes: SPAs modernas, aplicaciones empresariales legacy, frontends generados con IA sin codificación de salida, plataformas CMS con sanitización a medias. El XSS es el tipo de vulnerabilidad que se descarta fácilmente hasta que ves un token de sesión extraído de una aplicación bancaria o una carga útil de phishing entregada desde un dominio de confianza. ...