Pentesting Web

La inyección de XML External Entity (XXE) es una de las vulnerabilidades más peligrosas en aplicaciones web — capaz de leer archivos del servidor, desencadenar SSRF y lograr ejecución remota de código en las condiciones correctas. Lleva años en el OWASP Top 10 y sigue presente en sistemas en producción. El motivo: los desarrolladores habilitan parsers XML con procesamiento de entidades externas activado por defecto y nunca lo desactivan. Esta guía cubre detección, explotación, exfiltración de datos fuera de banda, XXE ciego y bypass de WAF — con payloads listos para usar en tu próximo pentest. ...

Cross-site request forgery es una de esas vulnerabilidades que parecen simples hasta que intentas explotarlas en una aplicación moderna. En teoría: engañar al navegador de una víctima para que realice una solicitud autenticada hacia un sitio objetivo. En la práctica: la validación de tokens CSRF, las políticas de cookies SameSite y las verificaciones de Referer lo han hecho significativamente más difícil, pero no imposible. En 2026, el CSRF puro es menos común en plataformas grandes, pero sigue apareciendo con regularidad en herramientas internas, aplicaciones empresariales heredadas, APIs construidas a medida y cualquier aplicación que implemente la protección CSRF de forma descuidada. Y cuando los tokens CSRF están presentes pero mal configurados, el bypass suele ser trivialmente sencillo. ...