OWASP Top 10 2025

A01:2025 - Control de acceso roto
A02:2025 - Configuración de seguridad incorrecta
A03:2025 - Fallos en la cadena de suministro de software
A04:2025 - Fallos criptográficos
A05:2025 - Inyección
A06:2025 - Diseño inseguro
A07:2025 - Fallos de autenticación
A08:2025 - Fallos en la integridad de software o datos
A09:2025 - Fallos en el registro y alerta de seguridad
A10:2025 - Manejo inadecuado de condiciones excepcionales

A01:2025 Control de acceso roto: El control de acceso impone políticas de modo que los usuarios no puedan actuar fuera de sus permisos establecidos. Estos fallos suelen provocar divulgación no autorizada de información, modificación o destrucción de todos los datos, o la ejecución de funciones de negocio fuera de los límites del usuario.

A02:2025 Configuración de seguridad incorrecta: La configuración de seguridad incorrecta ocurre cuando un sistema, aplicación o servicio en la nube se configura incorrectamente desde una perspectiva de seguridad, creando vulnerabilidades.

A03:2025 Fallos en la cadena de suministro de software: Los fallos en la cadena de suministro de software son interrupciones u otras brechas en el proceso de construcción, distribución o actualización del software. Suelen ser causadas por vulnerabilidades o cambios maliciosos en código de terceros, herramientas u otras dependencias de las que depende el sistema.

A04:2025 Fallos criptográficos: En términos generales, todos los datos en tránsito deben estar cifrados en la capa de transporte (capa 4 del modelo OSI). Anteriores obstáculos, como el rendimiento de la CPU y la gestión de claves privadas o certificados, ahora se manejan mediante instrucciones de la CPU diseñadas para acelerar el cifrado (por ejemplo, soporte AES) y la simplificación de la gestión de claves privadas y certificados a través de servicios como LetsEncrypt.org, con los principales proveedores de nube ofreciendo servicios de gestión de certificados aún más integrados para sus plataformas específicas. Más allá de asegurar la capa de transporte, es importante determinar qué datos necesitan cifrado en reposo y qué datos requieren cifrado adicional en tránsito (en la capa de aplicación, capa 7 del modelo OSI). Por ejemplo, contraseñas, números de tarjetas de crédito, registros médicos, información personal y secretos comerciales requieren protección adicional, especialmente si esos datos están sujetos a leyes de privacidad, como el Reglamento General de Protección de Datos (GDPR) de la UE, o normativas como el Estándar de Seguridad de Datos PCI (PCI DSS).

A05:2025 Inyección: Una vulnerabilidad de inyección es un defecto del sistema que permite a un atacante insertar código o comandos maliciosos (como código SQL o de shell) en los campos de entrada de un programa, engañando al sistema para que ejecute el código o comando como si fuera parte del mismo. Esto puede tener consecuencias verdaderamente desastrosas.

A06:2025 Diseño inseguro: El diseño inseguro es una categoría amplia que representa diferentes debilidades, expresadas como "diseño de control ausente o ineficaz". El diseño inseguro no es la causa de todas las demás categorías de riesgo del Top Ten. Tenga en cuenta que existe una diferencia entre diseño inseguro e implementación insegura. Diferenciamos entre defectos de diseño y errores de implementación por razones válidas: tienen causas raíz diferentes, ocurren en momentos distintos del proceso de desarrollo y requieren remediaciones distintas. Un diseño seguro aún puede tener defectos de implementación que conduzcan a vulnerabilidades explotables. Por el contrario, un diseño inseguro no puede corregirse mediante una implementación perfecta, ya que los controles de seguridad necesarios nunca se crearon para defenderse de ataques específicos. Uno de los factores que contribuyen al diseño insegro es la falta de perfiles de riesgo empresarial inherentes en el software o sistema que se desarrolla, y por ende, la falla para determinar qué nivel de diseño de seguridad se requiere.

A07:2025 Fallos de autenticación: Esta vulnerabilidad está presente cuando un atacante puede engañar al sistema para que reconozca a un usuario inválido o incorrecto como legítimo.

A08:2025 Fallos en la integridad de software o datos: Los fallos de integridad del software y los datos se refieren al código e infraestructura que no protege contra el tratamiento de código o datos inválidos o no confiables como si fueran confiados y válidos. Un ejemplo de esto es cuando una aplicación depende de complementos, bibliotecas o módulos de fuentes no confiables, repositorios y redes de entrega de contenido (CDN). Una canalización CI/CD insegura que no consume ni proporciona verificaciones de integridad de software puede introducir el potencial de acceso no autorizado, código inseguro o malicioso, o compromiso del sistema. Otro ejemplo es un CI/CD que extrae código o artefactos de lugares no confiables y/o no los verifica antes de su uso (mediante la comprobación de firmas o mecanismos similares).

A09:2025 Fallos en el registro y alerta de seguridad  - Sin registro y monitoreo, los ataques y brechas no pueden ser detectados, y sin alertas es muy difícil responder rápida y eficazmente durante un incidente de seguridad. La insuficiencia en el registro, monitoreo continuo, detección y alertado para iniciar respuestas activas ocurre cada vez que

A10:2025 Manejo inadecuado de condiciones excepcionales: El manejo inadecuado de condiciones excepcionales en el software ocurre cuando los programas fallan en prevenir, detectar y responder a situaciones inusuales e impredecibles, lo que conduce a caídas del sistema, comportamiento inesperado y, a veces, vulnerabilidades. Esto puede implicar una o más de las siguientes tres fallas: la aplicación no impide que ocurra una situación inusual, no identifica la situación mientras está ocurriendo, y/o responde pobremente o no responde en absoluto a la situación posteriormente.

Discutiremos y presentaremos aspectos prácticos de:

Control de acceso roto
- Ejemplos prácticos de controles de acceso rotos
- Controles de acceso seguros y mejores prácticas

Configuración de seguridad incorrecta
- Ejemplos del mundo real de configuraciones incorrectas
- Pasos para prevenir configuraciones incorrectas, incluyendo gestión de configuración y herramientas de automatización

Fallos criptográficos
- Análisis detallado de fallos criptográficos, como algoritmos de cifrado débiles o gestión inadecuada de claves
- Importancia de mecanismos criptográficos robustos, protocolos seguros (SSL/TLS) y ejemplos de criptografía moderna en la seguridad web

Ataques de inyección
- Desglose detallado de inyecciones SQL, NoSQL, SO y LDAP
- Técnicas de mitigación usando sentencias preparadas, consultas parametrizadas y escapado de entradas

Diseño inseguro
- Exploraremos defectos de diseño que pueden llevar a vulnerabilidades, como la validación inadecuada de entradas
- Estudiaremos estrategias para arquitecturas seguras y principios de diseño seguro

Fallos de autenticación
- Problemas comunes de autenticación
- Estrategias de autenticación seguras, como la autenticación multifactor y el manejo adecuado de sesiones

Fallos en la integridad de software y datos
- Enfoque en problemas como actualizaciones de software no confiables y manipulación de datos
- Mecanismos seguros de actualización y verificaciones de integridad de datos

Fallos en el registro y monitoreo de seguridad
- Importancia de registrar información relevante para la seguridad y monitorear actividades sospechosas
- Herramientas y prácticas para un registro adecuado y monitoreo en tiempo real que permitan detectar brechas tempranamente