flawtrace
← Volver a la visión general

CALIFICACIÓN DE RIESGO

Nivel C

La calificación baja mientras la inyección SQL siga abierta: permite leer datos de otras organizaciones desde una cuenta con permisos mínimos.

Antes C+

MATRIZ

Impacto y probabilidad

HALLAZGOPROBABILIDADSEVERIDAD
FT-031Impacto alto · corregir de inmediatoAltaCrítica→FT-024Impacto alto · corregido en retestMediaAlta→FT-019Impacto medio · corregido en retestMediaMedia→FT-011Impacto bajo · corregido en retestBajaBaja→FT-008Impacto bajo · corregido en retestMediaBaja→

EVOLUCIÓN

Cómo se ha movido la nota

  1. C+
    Inicio de la evaluación

    Superficie sin hallazgos críticos conocidos

  2. D
    Validación de FT-031

    Inyección SQL confirmada en el buscador de facturas

  3. C
    Tras el retest

    Siete correcciones confirmadas; la inyección sigue abierta

  4. A-
    Objetivo

    Con FT-031 corregido y el límite por cuenta aplicado

FACTORES

Qué pesa en la nota

Exposición
InternetAPI y portal accesibles públicamente
Datos afectados
Facturación y credenciales con hashInformación de varios inquilinos
Complejidad de ataque
BajaBasta una cuenta válida sin privilegios
Detección
ParcialLos errores SQL no generan alerta

SIGUIENTE PASO

Cómo subir de nota

Corregir la inyección SQL del buscador de facturas y aplicar el límite de intentos por cuenta sitúa la evaluación en A-. Ambas acciones están estimadas en menos de una semana de trabajo.

Ver el hallazgo crítico