Flujos Sensibles Sin Restricción
Flujos críticos de negocio como registro, reset de password o compras no tienen protección contra bots como CAPTCHA, rate limiting o fingerprinting de dispositivo.
Cómo Funciona
Los flujos sensibles como creación de cuentas, redención de cupones o checkout pueden ser abusados a escala cuando no existen controles anti-automatización. Los atacantes escriben scripts para crear miles de cuentas falsas, hacer fuerza bruta a cupones o acaparar inventario limitado. Sin CAPTCHA, rate limiting o análisis de comportamiento, la API no puede distinguir usuarios legítimos de abuso automatizado. Esto causa pérdidas financieras, manipulación de plataforma y servicio degradado para usuarios reales.
app.post('/api/register', async (req, res) => {
const { email, password } = req.body;
const user = await db.users.create({ email, password });
res.json({ success: true, userId: user.id });
});app.post('/api/register', rateLimiter({ max: 5, window: '15m' }),
async (req, res) => {
const captchaValid = await verifyCaptcha(req.body.captchaToken);
if (!captchaValid) return res.status(429).json({ error: 'CAPTCHA failed' });
const { email, password } = req.body;
const user = await db.users.create({ email, password });
res.json({ success: true, userId: user.id });
});Ejemplo Real
En 2021, bots de scalpers explotaron APIs de retailers sin controles anti-automatización para comprar inventarios enteros de PS5 y GPUs en segundos. Nike, Walmart y Best Buy perdieron millones en confianza del cliente y tuvieron que implementar sistemas de detección de bots.
Cómo Prevenirlo
- Agrega CAPTCHA (reCAPTCHA v3 o hCaptcha) a flujos sensibles
- Implementa rate limiting por IP y por cuenta de usuario
- Usa fingerprinting de dispositivo para detectar clientes automatizados
- Monitorea patrones anómalos como requests rápidos secuenciales
Tecnologías Afectadas
Data Hogo detecta esta vulnerabilidad automáticamente.
Escanea Tu Repo GratisVulnerabilidades Relacionadas
Broken Object Level Authorization (BOLA)
highLos endpoints de API no verifican que el usuario que hace el request es dueño del recurso al que accede — permitiendo a atacantes acceder a datos de otros usuarios cambiando IDs.
Autenticación Rota (API)
highLos mecanismos de autenticación de la API son débiles o están mal implementados — JWT sin validación adecuada, tokens fuera de cookies httpOnly o sin expiración.
Autorización de Propiedades de Objeto Rota
mediumLa API permite a usuarios leer o modificar propiedades a las que no deberían tener acceso — mass assignment, exposición excesiva de datos o falta de control de acceso a nivel de campo.
Consumo de Recursos Sin Restricción
mediumEndpoints de API sin rate limiting, paginación o límites de recursos — permitiendo a atacantes agotar recursos del servidor, generar costos o extraer datasets grandes.