VibeSense Security Audit

⚠️ Riesgo: La comparación con === tiene tiempo variable según el punto de fallo, permitiendo a un atacante adivinar tokens o hashes bit a bit mediante análisis de tiempo de respuesta.

Pasos de remediación:

1. Usar crypto.timingSafeEqual() para comparar tokens y hashes.
2. Convertir ambos strings a Buffer antes de comparar.
3. Nunca comparar tokens JWT o API keys con === o ==.
4. Para contraseñas, usar bcrypt.compare() que ya es timing-safe.

Ejemplo de código:

const crypto = require('crypto');
const expected = Buffer.from(process.env.API_TOKEN);
const received = Buffer.from(req.headers['x-api-key'] || '');
if (expected.length !== received.length || !crypto.timingSafeEqual(expected, received)) {
  return res.status(401).json({ error: 'Unauthorized' });
}

🎯 Vector de Pentest: Timing Attack, Token Brute Force

⚠️ Riesgo: Sin whitelist, el gateway expone automáticamente todas las acciones de todos los servicios registrados, incluyendo acciones internas o de administración.

Pasos de remediación:

1. Definir whitelist explícita con las rutas permitidas.
2. Usar aliases para mapear rutas HTTP a acciones específicas.
3. Marcar acciones internas con visibility: 'protected' o 'private'.
4. Revisar periódicamente qué acciones están expuestas en el gateway.
5. Implementar el hook authorize() para verificar permisos por ruta.

Ejemplo de código:

// Correcto
{
  path: '/api',
  whitelist: [
    'users.login',
    'users.register',
    'products.list'
  ],
  aliases: {
    'POST /login': 'users.login',
    'GET /products': 'products.list'
  }
}

🎯 Vector de Pentest: Unauthorized API Access, Internal Action Exposure

⚠️ Riesgo: Imprimir datos sin sanitizar permite ataques Cross-Site Scripting que pueden robar sesiones o ejecutar código malicioso.

Pasos de remediación:

1. Usar htmlspecialchars() con ENT_QUOTES y charset UTF-8.
2. Usar htmlentities() como alternativa más completa.
3. Implementar una Content Security Policy (CSP) en el servidor.
4. Considerar usar un template engine que escape automáticamente (Twig).
5. Nunca imprimir directamente datos de $_GET, $_POST, $_COOKIE.

Ejemplo de código:

echo htmlspecialchars($var, ENT_QUOTES, 'UTF-8');

🎯 Vector de Pentest: Reflected XSS, Stored XSS, Cookie Theft

⚠️ Riesgo: Asignar contenido sin sanitizar a innerHTML permite DOM-based XSS que ejecuta en el contexto del usuario, pudiendo robar cookies, tokens o realizar acciones en su nombre.

Pasos de remediación:

1. Usar textContent en lugar de innerHTML para texto plano.
2. Si se necesita HTML, sanitizar con DOMPurify antes de asignar.
3. Crear elementos DOM con createElement() y appendChild() en lugar de innerHTML.
4. Implementar una Content Security Policy (CSP) como defensa en profundidad.

Ejemplo de código:

// Correcto — texto plano
element.textContent = userInput;

// Correcto — HTML sanitizado
import DOMPurify from 'dompurify';
element.innerHTML = DOMPurify.sanitize(userInput);

// Incorrecto
element.innerHTML = userInput;

🎯 Vector de Pentest: DOM XSS, Cookie Theft, Session Hijacking

⚠️ Riesgo: Local File Inclusion permite leer archivos del servidor (/etc/passwd, logs) o ejecutar código. Remote File Inclusion permite cargar y ejecutar código desde un servidor remoto.

Pasos de remediación:

1. Usar un mapa de archivos permitidos (whitelist) en lugar de paths dinámicos.
2. Validar el valor contra una lista fija de opciones permitidas.
3. Nunca incluir rutas que vengan de $_GET, $_POST, o $_COOKIE.
4. Deshabilitar allow_url_include en php.ini.
5. Usar basename() o realpath() y verificar que el resultado esté dentro del directorio permitido.

Ejemplo de código:

$allowed = ['home' => 'home.php', 'about' => 'about.php'];
$page = $allowed[$_GET['page']] ?? 'home.php';
include 'pages/' . $page;

🎯 Vector de Pentest: Local File Inclusion (LFI), Remote File Inclusion (RFI)

⚠️ Riesgo: Tokens sin expiración permiten accesos indefinidos. Si un token es comprometido, permanece válido para siempre.

Pasos de remediación:

1. Agregar el claim 'exp' al payload del JWT.
2. Definir una expiración corta (3600 = 1 hora).
3. Validar la expiración explícitamente al verificar el token.
4. Usar el claim 'iat' (issued at) para rastrear la emisión.
5. Implementar revocación de tokens en base de datos o cache.

Ejemplo de código:

$payload = ['sub' => $userId, 'exp' => time() + 3600, 'iat' => time()];
$token = JWT::encode($payload, $secretKey, 'HS256');

🎯 Vector de Pentest: Token Replay, Session Persistence After Logout

⚠️ Riesgo: Sin validar el tipo de archivo, un atacante puede subir una webshell PHP (.php, .phtml, .php5) y ejecutar comandos en el servidor.

Pasos de remediación:

1. Validar extensión: usar pathinfo() y comparar contra whitelist de extensiones permitidas.
2. Validar MIME type real con finfo_file() (no confiar en el MIME del cliente).
3. Renombrar el archivo al guardar (UUID + extensión controlada).
4. Guardar uploads FUERA del webroot o en un directorio sin ejecución de PHP.
5. Configurar el servidor web para no ejecutar scripts en el directorio de uploads.
6. Verificar el tamaño máximo del archivo.

Ejemplo de código:

$allowed_ext = ['jpg', 'jpeg', 'png', 'gif', 'pdf'];
$ext = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));
if (!in_array($ext, $allowed_ext)) die('Tipo no permitido');
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime = finfo_file($finfo, $_FILES['file']['tmp_name']);
if (!in_array($mime, ['image/jpeg', 'image/png'])) die('MIME no permitido');
$newname = bin2hex(random_bytes(16)) . '.' . $ext;
move_uploaded_file($_FILES['file']['tmp_name'], '/uploads/' . $newname);

🎯 Vector de Pentest: File Upload Bypass, Webshell Upload, RCE