Fallos en Cadena de Suministro
Tu aplicación hereda vulnerabilidades de dependencias de terceros — paquetes desactualizados con CVEs conocidos que los atacantes explotan activamente.
Cómo Funciona
Las apps modernas dependen de cientos de paquetes npm/pip/Maven. Cuando una dependencia tiene una vulnerabilidad conocida (CVE), tu app hereda ese riesgo. Los atacantes escanean apps usando versiones vulnerables y las explotan a escala. Herramientas como npm audit las detectan, pero muchos devs ignoran las advertencias. Una sola dependencia transitiva vulnerable puede comprometer toda tu aplicación.
// package.json
{
"dependencies": {
"lodash": "4.17.15",
"express": "4.16.0",
"minimist": "0.0.8"
}
}// package.json — run: npm audit fix
{
"dependencies": {
"lodash": "4.17.21",
"express": "4.21.0",
"minimist": "1.2.8"
}
}Ejemplo Real
El incidente event-stream (2018) afectó millones de descargas. Un atacante tomó control de un paquete npm popular e inyectó código que robaba credenciales de wallets de criptomonedas de una app específica (Copay).
Cómo Prevenirlo
- Ejecuta npm audit o snyk test regularmente
- Fija versiones de dependencias con un lockfile
- Usa herramientas automatizadas como Dependabot
- Revisa changelogs antes de actualizaciones mayores
Tecnologías Afectadas
Data Hogo detecta esta vulnerabilidad automáticamente.
Escanea Tu Repo GratisVulnerabilidades Relacionadas
Control de Acceso Roto
highLos usuarios pueden actuar fuera de sus permisos, accediendo a datos de otros usuarios o funcionalidad admin sin verificaciones de autorización.
Fallos Criptográficos
highDatos sensibles expuestos por encriptación débil o faltante — usar algoritmos obsoletos como MD5/SHA1, guardar passwords en texto plano o transmitir datos sin TLS.
Configuración de Seguridad Incorrecta
mediumConfiguraciones por default, CORS abierto, modo debug en producción o mensajes de error detallados exponen tu aplicación a atacantes.
Inyección (SQL, NoSQL, Comandos)
criticalEl atacante inserta código malicioso en queries o comandos explotando input de usuario sin sanitizar — inyección SQL, NoSQL y de comandos del sistema.