Informe de ejemplo · datos ficticios
Informe de auditoría
acme/tienda-online
Repositorio GitHub · main · 25/10/2026, 08:12:57
Ya analizamos este código antes
Es el escaneo #3 de este proyecto. El código cambió desde la última revisión. Comparado con el escaneo anterior (19/10/2026):
Postura
0 → 0
0 pts
Resueltos
5
ya no aparecen
Nuevos
1
aparecieron ahora
Persisten
9
siguen abiertos
Resueltos
- ✓RCE vía deserialización insegura
- ✓Token de admin hardcodeado
- ✓next@12.1.0 — CVE con SSRF
Nuevos
- ▲Open redirect en /login
Veredicto de lanzamiento
No publicar todavía
Hay 3 hallazgos críticos que un atacante puede aprovechar hoy. Resolvelos antes de abrir al público.
0
/ 100
F
postura de
seguridad
seguridad
Resumen ejecutivo
3
Crítico
2
Alto
4
Medio
1
Bajo
0
Info
10
Hallazgos totales
8
Validados por prueba
142
Archivos analizados
340
Dependencias
Qué revisamos
Secretos expuestos
Clave de Stripe expuesta al cliente.
Control de acceso (IDOR / multi-tenant)
IDOR en pedidos a revisar.
Inyección (SQL/NoSQL/OS/SSTI)
SQLi confirmada por explotación.
XSS
XSS confirmado en navegador.
SSRF
No se detectaron pedidos a URLs controladas por el usuario.
Autenticación y sesión
Sin debilidades evidentes de auth.
Dependencias vulnerables
lodash con CVE crítico conocido.
Calidad / arquitectura (CI, tests)
Faltan CI, tests y lockfile.
SAST avanzado (Semgrep)
Análisis ejecutado con el ruleset Semgrep de VibeScan.
Explotación dinámica (DAST)
App atacada en vivo; hallazgos confirmados con PoC.
Entregables descargables
Documentos listos para que tu equipo aplique las soluciones, y prompts para que un asistente de IA (Claude, Cursor) haga los fixes.
Plan de corrección priorizado
P03
Resolver antes de abrir al público.
P12
Resolver en los próximos días.
P25
Resolver antes de escalar el tráfico.
Empezá por los 3 ítems P0: bloquean el lanzamiento. Muchos tienen un comando de arreglo listo para copiar.
Hallazgos (10)
Auditoría generada por VibeScan. Los hallazgos marcados “No confirmado” provienen de análisis estático y requieren validación dinámica (Fase 2) antes de afirmarse como explotables. Sólo se analizó código autorizado por el solicitante.