Ciberseguridad · Disclosure
Seguridad e investigación
Casos reales de vulnerabilidades encontradas en auditorías, contados de forma anónima y didáctica.
-
Backend as a Service · RLS
Cuando la base de datos queda abierta
Un sistema interno exponía pedidos, pagos y conversaciones de clientes sin autenticación, por reglas de acceso a nivel de fila (RLS) ausentes.
-
Plataforma de cursos · Paywall
Cursos pagos al alcance de cualquiera
El contenido de cursos exclusivos para suscriptores —videos y PDFs— se servía sin sesión ni verificación, y una lista de correos en el JavaScript público daba acceso gratis al producto de pago.
-
Exposición de datos · Cloud Storage
Miles de usuarios expuestos y un storage abierto sin autenticación
Una plataforma dejaba leer la PII de sus vendedores y la lista de usuarios, y permitía escribir y borrar archivos de su bucket de Storage sin credenciales.
-
API · Datos personales
El campo de API que nunca debió ser público
Un tipo reutilizado exponía el teléfono de todos los usuarios que interactuaban con una publicación, sin autenticación. La lección: autorizar por campo, no por endpoint.
-
Escritura arbitraria · Cloud Storage
Cuando el cliente decide dónde guardar: subida arbitraria a un storage
Un endpoint de URLs prefirmadas aceptaba la ruta de destino desde el navegador. Con una cuenta gratuita se podía subir HTML ejecutable desde el dominio oficial de la plataforma.
-
Exposición de datos · Backend as a Service
Más de 280.000 contactos al alcance de cualquiera
Una plataforma de apuestas dejaba consultar nombre, email, teléfono, domicilio y fecha de nacimiento de cualquier usuario con solo su DNI, y exponía métricas financieras internas. Todo sin autenticación.