Dashboard

Diagnóstico: El código concatena variables no controladas directamente en la instrucción SQL recibida por el cursor de base de datos.

# Concatenación vulnerable
query = f"SELECT * FROM users WHERE id = {user_id}"
cursor.execute(query)

# Sentencia parametrizada segura
query = "SELECT * FROM users WHERE id = %s"
cursor.execute(query, (user_id,))

Diagnóstico: La cookie sensible que contiene tokens de sesión no cuenta con atributos que restrinjan el acceso desde JavaScript en el cliente o canales HTTP no cifrados.

// Cookie accesible por scripts XSS
res.cookie('session_token', token);

// Flags de protección activas
res.cookie('session_token', token, {
  httpOnly: true,
  secure: process.env.NODE_ENV === 'production',
  sameSite: 'strict'
});

Diagnóstico: Invocación de hashlib.md5() o hashlib.sha1() para operaciones de integridad o autenticación, algoritmos formalmente vulnerables a ataques de colisión prácticos.

import hashlib
# MD5 vulnerable a colisiones
hashed = hashlib.md5(secret.encode()).hexdigest()

import hashlib
# SHA-256 criptográficamente robusto
hashed = hashlib.sha256(secret.encode()).hexdigest()

Diagnóstico: El servidor web inicia con el depurador Werkzeug activado, permitiendo ejecución remota de código arbitrario a través del PIN de consola interactiva.

# Servidor con debug expuesto
if __name__ == '__main__':
    app.run(debug=True, host='0.0.0.0')

# Control estricto por entorno
is_debug = os.getenv('FLASK_DEBUG', '0') == '1'
if __name__ == '__main__':
    app.run(debug=is_debug, host='127.0.0.1')

Diagnóstico: El middleware CORS utiliza el origen comodín * conjuntamente con credenciales o refleja el encabezado Origin sin validación previa.

// Permite orígenes arbitrarios
app.use(cors({ origin: '*', credentials: true }));

const allowed = ['https://app.miempresa.com'];
app.use(cors({
  origin: (origin, cb) => cb(null, allowed.includes(origin)),
  credentials: true
}));

Diagnóstico: Procesamiento de secuencias de bytes externas usando pickle.loads(), permitiendo a un atacante ejecutar código arbitrario (RCE) mediante métodos mágicos __reduce__.

import pickle
# Deserialización con capacidad RCE
data = pickle.loads(request.data)

import json
# Formato seguro no ejecutable
data = json.loads(request.data)