CVE-2026-13794
Validación insuficiente en WebAppInstalls. Google clasificó la vulnerabilidad como High y acreditó el reporte a Daniel Rodríguez en su actualización estable.
Shark Offensive / Seguridad e investigación
Seguridad ofensiva para sistemas reales.
Evaluamos aplicaciones, APIs e infraestructura. Investigamos fallos de acceso, exposición de información y lógica de negocio, validamos su impacto y documentamos lo necesario para corregirlos.
Usuarios y roles
Datos · recursos · operaciones
Qué comprobamos / Aplicación
¿Cada usuario puede hacer solo lo que le corresponde?
Sesiones, permisos y recorridos del producto. Se contrasta el comportamiento esperado con lo que permite la aplicación.
01 / Investigación publicada
Un hallazgo. Una fuente que podés consultar.
La investigación permite examinar controles y documentar sus condiciones. Conocé la contribución pública de Daniel Rodríguez en Google Chrome.
02 / Servicios
Qué necesitás evaluar.
La superficie y el objetivo definen el trabajo. Cada modalidad explica qué revisamos, cómo prepararla y qué queda documentado.
01
Pentesting web
Sesiones, permisos, datos y lógica de negocio en los recorridos que utiliza tu producto.
02Seguridad de APIs
Acceso a objetos, operaciones y separación entre organizaciones, con identidades y roles distintos.
03Infraestructura y exposición
Servicios expuestos, configuraciones y accesos sobre activos identificados y autorizados.
04AppSec y revisión de código
Diseño, implementación y dependencias de los controles que sostienen las funciones críticas.
05Evaluación continua
Cadencia acordada, revisión de cambios relevantes y seguimiento de hallazgos y correcciones.
03 / El contexto importa
Una evaluación empieza por una decisión.
Un producto nuevo, una integración y una exigencia comercial plantean preguntas diferentes. El alcance tiene que reflejarlas.
Antes de lanzar una aplicación
Identificar recorridos sensibles, roles e integraciones permite concentrar las pruebas en los controles que sostienen la nueva versión. Las cuentas y los datos de prueba se preparan antes de la evaluación.
Cuando varias empresas comparten una API
La separación entre organizaciones necesita comprobarse en recursos, operaciones y respuestas. Una cuenta autenticada puede tener permisos distintos según el contexto en el que trabaja.
Después de un cambio importante
Una integración, un permiso administrativo o una nueva forma de iniciar sesión pueden modificar controles existentes. Una revisión focalizada examina esos cambios y las relaciones que afectan.
Para responder a un requisito de un cliente
Conviene conocer qué evidencia solicita el comprador y sobre qué activos. La propuesta puede definir el informe necesario y sus límites, junto con las condiciones para compartirlo.
04 / Entregables
Del hallazgo al trabajo de corrección.
Un informe debe explicar qué falló, en qué condiciones y qué control necesita cambiar. El alcance y las limitaciones forman parte del resultado.
La lectura ejecutiva ayuda a priorizar. El detalle técnico conserva el activo, la evidencia y las recomendaciones para quienes mantienen el sistema. Cuando se acuerda revalidación, su resultado queda registrado.
Muestra del entregable
Evaluación de un portal multiempresa
Ejemplo didáctico de una aplicación ficticia. Expone cómo se documentan alcance, evidencia y límites.
- Activo
- portal.example.test · entorno de prueba
- Roles
- Operador y administrador de dos organizaciones ficticias
- Recorrido
- Consulta de documentos y separación entre organizaciones
- Exclusiones
- Servicios de terceros, carga y disponibilidad
Acceso a un documento de otra organización
Una sesión de prueba de la organización A obtiene un documento sintético de B. Requiere una cuenta autenticada y conocer la referencia del documento.
Esperado: acceso denegado
Observado: documento de B visible para A
Observado: documento de B visible para A
Corrección: comprobar la pertenencia del recurso y el permiso de la operación en el servidor, antes de devolver el documento. Aplicar el mismo control a las descargas.
Seguimiento de ejemplo
Corrección pendiente de revalidación
Una modificación informada por desarrollo aún necesita una comprobación. El estado conserva esa diferencia.
- Preparación
- Versión corregida, cuentas de A y B y documento sintético
- Comprobación
- Confirmar que A pierde el acceso y que B conserva el permitido
- Registro
- Versión, fecha, evidencia y límites de lo revisado
La revalidación se acuerda en cada propuesta.
05 / Cómo trabajamos
Un recorrido con condiciones claras.
Desde la conversación inicial hasta el seguimiento acordado, cada etapa produce información que necesita la siguiente.
- 01
Contexto
Entender qué hace el producto, quién lo utiliza y qué decisión debe ayudar a tomar la evaluación.
- 02
Alcance
Acordar activos, entornos, roles, exclusiones y condiciones de ejecución antes de probar.
- 03
Preparación
Comprobar los accesos y la documentación necesarios para recorrer el sistema.
- 04
Evaluación
Explorar los recorridos y contrastar hipótesis con evidencia dentro del alcance autorizado.
- 05
Comunicación y entrega
Explicar qué se observó, por qué importa y qué control necesita corregirse.
- 06
Revalidación
Comprobar las correcciones incluidas en el seguimiento y conservar su resultado.
06 / Equipo
Conocé a quienes evalúan el sistema.
La dirección técnica conecta el contexto del producto con la ejecución ofensiva. Las publicaciones y las investigaciones permiten conocer el trabajo de cada persona.
Daniel Sebastián Rodríguez
Dirección técnica. Desarrollo de productos e investigación de vulnerabilidades.
Trayectoria e investigación
Lautaro Casanova
Seguridad ofensiva, AppSec y SSDLC. Autor del sitio técnico Betah4k.
Perfil y publicaciones07 / Recursos
Preparar una evaluación también es trabajo técnico.
Cómo preparar el alcance de un pentest web
Inventario, roles, recorridos y una lista descargable para organizar la conversación.
Autorización en aplicaciones multiempresa
Una matriz de acceso para discutir el límite entre identidad, organización y recurso.
El siguiente paso
Definamos qué necesitás evaluar.
Contanos qué hace tu sistema, qué cambió y qué necesitás conocer. Con ese contexto podemos conversar sobre el alcance.