HIGH

CORS Misconfiguration

Cuatro variantes de CORS mal configurado: wildcard, reflejo de origen, confianza en null origin y regex bypasseable con subdomain spoofing

Endpoint de la API:

Ejemplos de explotación:

Wildcard Access-Control-Allow-Origin: *

Cualquier origen puede leer la respuesta. Expone apiKey, email y balance sin autenticación cruzada

/api/lab/cors?mode=wildcard

Origin reflection + Allow-Credentials: true

El servidor refleja cualquier Origin enviado. Con cookies de sesión activas, un atacante puede robar datos autenticados

/api/lab/cors?mode=reflect

Confianza en null origin

El servidor acepta Origin: null (enviado desde sandbox iframes o archivos locales). Explotable con <iframe sandbox srcdoc=...>

/api/lab/cors?mode=null

Regex endsWith bypass — aitana.cloud.evil.com

Validación errónea con .endsWith('aitana.cloud') — bypasseable con un subdominio que termine en aitana.cloud

/api/lab/cors?mode=subdomain

✅ Modo seguro — allowlist estricta (mismo origen)

La allowlist estricta solo permite https://aitana.cloud — cualquier otro Origin es bloqueado

/api/lab/cors?mode=safe

PoC — fetch con credentials desde origen externo

fetch('/api/lab/cors?mode=reflect',{credentials:'include'}) — el navegador envía cookies y el CORS vulnerable las permite

/api/lab/cors?mode=reflect

Preflight OPTIONS — cabeceras permitidas

El preflight OPTIONS también responde con ACAO reflejado — el atacante puede usar Authorization y Content-Type custom

/api/lab/cors?mode=wildcard

Datos sensibles expuestos — apiKey + privateNotes

La respuesta CORS vulnerable incluye apiKey, contraseña de DB y datos de sesión — accesibles desde cualquier origen

/api/lab/cors?mode=wildcard

Vulnerabilidad Alta

CORS mal configurado permite que sitios externos lean respuestas autenticadas. Las cuatro variantes más comunes: (1) wildcard con datos sensibles; (2) reflejo del Origin + Allow-Credentials: true (permite robo de sesión); (3) confianza en null origin (explotable con sandbox iframe); (4) validación regex bypasseable con subdomain spoofing. El impacto real depende de si la app usa cookies de sesión — con reflect + credentials el atacante puede hacer peticiones autenticadas en nombre del usuario. OWASP A05:2021 — CVSS 8.1.

Ver Documentación Completa de la API

Esta aplicación es vulnerable por diseño - Solo para propósitos educativos