Dos vulnerabilidades críticas reportadas en bug bounty

Danny García, fundador de Eymia Labs, busca vulnerabilidades en programas de bug bounty, donde las organizaciones invitan a probar sus sistemas bajo reglas publicadas. Dos de sus reportes fueron calificados como Critical por los programas.

Lo que publicamos y lo que no.

Las políticas de divulgación de los programas exigen su permiso para contar detalles de un reporte. Mientras no lo tengamos, publicamos solo la credencial: plataforma, severidad, estado y una clase genérica de falla. Nada sobre la organización, el tipo de sistema, la tecnología, la causa raíz, endpoints, payloads ni capturas.

01EscalaCVSS

Dónde caen los dos reportes

Escala de severidad según CVSS 4.0: Info 0, Low 0.1 a 3.9, Medium 4.0 a 6.9, High 7.0 a 8.9, Critical 9.0 a 10. Los dos hallazgos de investigación están en 9.1 y 9.3.INFO · 0.0LOW0.1–3.9MEDIUM4.0–6.9HIGH7.0–8.9CRITICAL9.0–10INV-01 · 9.1INV-02 · 9.3Escala de severidad CVSS 4.0LOW0.1–3.9MEDIUM4.0–6.9HIGH7.0–8.9CRITICAL9.0–10INV-01 9.1 · INV-02 9.3
Fig. 1Severidad por CVSS 4.0. La etiqueta escrita acompaña siempre al color; la prioridad final considera además el impacto de negocio.
02Reportes

Las dos credenciales

INV-02Critical · CVSS 9.3

Hallazgo Critical en un programa privado

Plataforma
HackerOne, programa privado
Estado
Validado por el programa como Critical
CVSS
9.3
Reportado por
Danny García Galarza
03Otras credenciales

El resto del historial

  • Insignia Bug Baron, Intigriti

    Top 10 trimestral de un programa. Perfil público.

  • Nivel 2 en HackerOne

    Según el sistema de niveles de la plataforma.

  • Divulgación responsable

    Todos los reportes se hicieron dentro de las reglas de cada programa, que autorizan las pruebas.

Siguiente paso

Las mismas pruebas, sobre su sistema.

El control de acceso y la configuración son las fallas que un escáner no encuentra. Es lo que probamos a mano en cada pentest.

Agendar llamada gratuita Cómo se contrata