SHARK OFFENSIVE / ENTREGABLES
Muestra editorial · Versión 1 · 15 de octubre de 2026
DEMO CON DATOS FICTICIOS. El sistema, las organizaciones, los documentos, el hallazgo y sus estados son ejemplos didácticos. Este documento no representa una evaluación realizada a un cliente.
Portal ficticio que permite consultar documentos de distintas organizaciones. El escenario se limita a la separación de acceso entre dos organizaciones de prueba.
portal.example.test, entorno de prueba ficticio. Este
dominio se incluye como dato de ejemplo.
El ejemplo contiene un hallazgo de autorización: una identidad de A puede acceder a un documento de B. La prioridad alta asignada en la muestra se explica por la pérdida de separación de información entre organizaciones. El escenario requiere una cuenta autenticada y conocer la referencia del documento.
No se asigna una puntuación CVSS a este ejemplo. Una evaluación real debe justificar la severidad según las condiciones observadas y distinguirla de la prioridad de corrección del negocio.
En el servidor, comprobar la pertenencia del recurso a la organización y el permiso de la identidad para la acción solicitada antes de devolver el documento. Aplicar el control a todas las rutas incluidas, incluida la descarga. El contexto de organización debe obtenerse de una relación validada con la identidad.
Agregar comprobaciones de regresión para lectura permitida y denegada, distintos roles y recursos inexistentes. Los identificadores difíciles de adivinar pueden reducir exposición accidental, pero el control necesita una decisión de autorización.
| Hallazgo | Estado | Evidencia pendiente |
|---|---|---|
| EJ-01 | Corrección pendiente de revalidación | Versión corregida y resultado de las comprobaciones acordadas |
La modificación informada por desarrollo todavía necesita una comprobación. Para revalidar este ejemplo se preparan la nueva versión, las identidades de A y B y el documento sintético. Se confirma que A no accede y que B conserva el acceso permitido.
El registro final debe incluir versión, fecha, pruebas realizadas, resultado y límites. Si el entorno no permite comprobar una operación, el estado debe conservar esa condición. La revalidación se acuerda expresamente en cada propuesta.
Esta muestra enseña una estructura de informe. Una evaluación real representa solo los activos, funciones y condiciones que pudieron examinarse. Los cambios posteriores o las funciones excluidas necesitan interpretación y, cuando corresponda, un alcance adicional.
El formato final, la prioridad, las conversaciones de cierre y el seguimiento se definen en cada propuesta. Compartir un informe real con terceros requiere revisar su contenido y las condiciones acordadas.