OWASP top 10 2025 Fundamentos

Introducción al curso

Definimos que es OWASP top 10 2025

Entendemos por que es importante aprender de OWASP

Aprendemos que es lo nuevo que nos trae este version

Esta categoría se refiere a fallas que permiten a un usuario realizar acciones fuera de los permisos que le corresponden. Un atacante podría acceder a información de otros usuarios, modificar datos o incluso obtener privilegios administrativos. OWASP mantiene esta categoría como la más crítica debido a su alto impacto y frecuencia en aplicaciones modernas.

Incluye errores de configuración insegura en aplicaciones, servidores, servicios cloud, contenedores o frameworks. Ejemplos comunes son cuentas por defecto, mensajes de error detallados, servicios innecesarios habilitados o ausencia de cabeceras de seguridad. Esta categoría aumentó su relevancia en 2025 debido al crecimiento de entornos altamente configurables.

Esta nueva categoría amplía el antiguo concepto de componentes vulnerables e incluye riesgos en toda la cadena de suministro del software. Abarca dependencias comprometidas, librerías maliciosas, pipelines CI/CD inseguros y ataques sobre sistemas de distribución de software.

Se enfoca en fallas relacionadas con cifrado débil, inexistente o mal implementado. Esto puede provocar exposición de contraseñas, datos financieros o información sensible durante el almacenamiento o transmisión de datos. Muchas brechas modernas están relacionadas con problemas criptográficos.

Las vulnerabilidades de inyección ocurren cuando la aplicación interpreta datos del usuario como comandos o instrucciones válidas. Esto incluye SQL Injection, Command Injection o LDAP Injection. Aunque esta categoría bajó en el ranking respecto a años anteriores, sigue siendo extremadamente peligrosa.

Hace referencia a problemas de seguridad originados desde el diseño o arquitectura de la aplicación. Incluso si el código está correctamente desarrollado, un diseño inseguro puede dejar expuesta la lógica del negocio o permitir ataques críticos difíciles de detectar automáticamente.

Incluye problemas relacionados con autenticación y gestión de sesiones. Contraseñas débiles, ausencia de MFA, mala protección contra fuerza bruta o errores en validación de identidad pueden permitir que atacantes comprometan cuentas de usuarios legítimos.

Esta categoría cubre situaciones donde la aplicación confía en software, actualizaciones o datos sin validar adecuadamente su integridad. Puede involucrar dependencias manipuladas, actualizaciones comprometidas o ejecución de código proveniente de fuentes no confiables.

Se relaciona con la falta de registros adecuados, monitoreo o mecanismos de alertamiento. Cuando una aplicación no detecta ni registra actividades sospechosas correctamente, los ataques pueden pasar desapercibidos durante mucho tiempo.

Esta nueva categoría se enfoca en el manejo incorrecto de errores, excepciones o condiciones inesperadas dentro de la aplicación. Un mal tratamiento de excepciones puede provocar caídas del sistema, exposición de información interna o comportamientos inseguros aprovechables por atacantes.