Este documento relaciona cada ataque (www-community) y cada Cheat Sheet (CheatSheetSeries) de OWASP con una categoría de seguridad, cada uno enlazado a su página pública canónica. Dentro de una categoría, los elementos equivalentes comparten una única línea de la lista: los ataques y las cheat sheets que abordan el mismo riesgo aparecen juntos, separados por comas. Los elementos sin un equivalente directo ocupan su propia línea.
- El mérito es de OWASP. Los ataques están en
https://owasp.org/www-community/attacks/<attack>y las cheat sheets enhttps://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html.
1. Inyección (genérica)
- Code Injection, Injection Prevention, Injection Prevention in Java (interpreter)
- Direct Dynamic Code Evaluation (Eval Injection) (interpreter)
- Function Injection (interpreter)
- Resource Injection (network)
- Special Element Injection (interpreter)
- Custom Special Character Injection (interpreter)
- Comment Injection Attack (interpreter)
- Parameter Delimiter (interpreter)
- Server-Side Includes (SSI) Injection (interpreter)
- Input Validation, Bean Validation (interpreter)
2. Inyección SQL y en bases de datos
- SQL Injection, SQL Injection Prevention, Query Parameterization (sql)
- Blind SQL Injection (sql)
- SQL Injection Bypassing WAF (sql)
- RSQL Injection (interpreter)
- Database Security (sql)
- NoSQL Security (interpreter)
3. Inyección de comandos del sistema operativo
- Command Injection, OS Command Injection Defense (interpreter)
4. Inyección LDAP, XPath y XML
- LDAP Injection, LDAP Injection Prevention (interpreter)
- XPATH Injection (interpreter)
- Blind XPath Injection (interpreter)
- XML External Entity (XXE) Prevention, XML Security (xml)
5. Cross-Site Scripting (XSS)
- Cross Site Scripting (XSS), Cross Site Scripting Prevention, XSS Filter Evasion (browser)
- DOM Based XSS, DOM based XSS Prevention, DOM Clobbering Prevention (browser)
- Reflected DOM Injection (browser)
- XSS in Converting File Content to Text (browser)
- XSS in subtitle (browser)
- Cross Frame Scripting (browser)
- Cross Site Tracing (browser)
- Content Security Policy (browser)
6. Cross-Site Request Forgery (CSRF) y clickjacking
- Cross Site Request Forgery (CSRF), XSRF, Cross-Site Request Forgery Prevention (http-request)
- Clickjacking, Clickjacking Defense (browser)
- Cross Site History Manipulation (XSHM) (browser)
- Form action hijacking (network)
- Reverse Tabnabbing (browser)
7. Redirecciones y reenvíos
- Open Redirect, Unvalidated Redirects and Forwards (network)
- Execution After Redirect (EAR) (browser)
8. Control de acceso y autorización
- Insecure Direct Object Reference (IDOR), Insecure Direct Object Reference Prevention (access-control)
- Forced browsing (access-control)
- Web Parameter Tampering (access-control)
- Setting Manipulation (access-control)
- Authorization (access-control)
- Transaction Authorization (access-control)
- Mass Assignment (access-control)
- Multi-Tenant Application Security (access-control)
9. Autenticación y credenciales
- Brute Force Attack, Password Spraying Attack, Bot Management and Anti-Automation (credential-endpoint)
- Credential stuffing, Credential Stuffing Prevention (credential-endpoint)
- Qrljacking (federation)
- Authentication, Multifactor Authentication (access-control)
- Password Storage (access-control)
- Forgot Password, Choosing and Using Security Questions (access-control)
- Email Validation and Verification in Identity Systems (access-control)
10. Gestión de sesiones
- Session fixation, Session hijacking attack, Session Prediction, Session Management (access-control)
- Cookie Theft Mitigation (access-control)
11. Federación de identidades (OAuth, SAML y JWT)
- OAuth 2.0 Protocol (federation)
- SAML Security (federation)
- JSON Web Token for Java (federation)
12. Criptografía y seguridad del transporte
- Cryptanalysis, Cryptographic Storage, Key Management (crypto)
- Manipulator-in-the-Middle (MITM), Transport Layer Security (transport)
- HTTP Strict Transport Security (transport)
- Pinning (transport)
13. Server-Side Request Forgery (SSRF)
14. Recorrido de directorios y manejo de archivos
- Path Traversal (path)
- Binary Planting (path)
- Windows ::DATA Alternate Data Stream (path)
- Embedding Null Code (path)
- File Upload (upload)
15. Abuso del protocolo HTTP (cabeceras, caché y splitting)
- HTTP Response Splitting, Cross-User Defacement (interpreter)
- HTTP Security Response Headers (repartido entre browser, transport, http-request y access-control)
- Cache Poisoning (interpreter)
- IP Spoofing via HTTP Headers (http-request)
16. Codificación y suplantación de contenido
- Unicode Encoding (interpreter)
- Double Encoding (interpreter)
- Content Spoofing (browser)
17. Inyección en CSV y hojas de cálculo
- CSV Injection (csv)
18. CORS (Cross-Origin Resource Sharing)
- CORS OriginHeaderScrutiny (http-request)
- CORS RequestPreflightScrutiny (http-request)
19. Denegación de servicio
20. Seguridad de la memoria y código nativo
- Buffer Overflow Attack, Buffer Overflow via Environment Variables (c-cpp)
- Format string attack (c-cpp)
21. Código móvil y ejecución de código no fiable
- Mobile code invoking untrusted mobile code (interpreter)
- Mobile code non-final public field (java)
- Mobile code object hijack (java)
22. Deserialización
- Deserialization (repartido entre python, ruby, php, java y dotnet)
23. Malware y amenazas del lado del cliente
- Man-in-the-browser attack, Browser Extension Security Vulnerabilities (browser)
- Third Party JavaScript Management (browser)
24. Registro de eventos, repudio y gestión de errores
- Log Injection, Logging, Application Logging Vocabulary (interpreter)
- Repudiation Attack (interpreter)
25. Lógica de negocio y abuso de funcionalidades
La lógica de negocio y el abuso de funcionalidades no tienen una única superficie en el código que pueda defender una especialización por superficie: la defensa es un diseño propio de cada aplicación, el mismo razonamiento que guía el modelado de amenazas del proyecto. Se ha movido a "Fuera del alcance".
26. Seguridad de IA, LLM y agentes
- Prompt Injection, LLM Prompt Injection Prevention (llm)
- MCP Tool Poisoning, MCP (Model Context Protocol) Security (llm)
- HITL Dialog Forging (Lies-in-the-Loop) (llm)
- AI Agent Security, Secure Coding with AI (llm)
- Retrieval-Augmented Generation (RAG) Security (llm)
- Secure AI/ML Model Ops (llm)
- AML and Sanctions Compliance for AI Agent Payments (llm)
27. Contaminación de prototipos y cross-site leaks
- Prototype Pollution Prevention (javascript)
- Cross-site leaks (XS-Leaks) (browser)
28. Frameworks y plataformas de lenguaje
- Django Security, Django REST Framework (python)
- Ruby on Rails (ruby)
- Laravel (php)
- Symfony (php)
- Java Security (java)
- DotNet Security (dotnet)
- NodeJS Security (javascript)
- PHP Configuration (php)
29. Front-end web y navegador
- HTML5 Security (browser)
- AJAX Security (browser)
- Securing Cascading Style Sheets (repartido entre access-control y browser)
30. API y servicios
- GraphQL (api-endpoint)
- gRPC Security (api-endpoint)
- WebSocket Security (api-endpoint)
31. Nube, contenedores e infraestructura
La configuración de contenedores y cargas de trabajo es configuración como código que el desarrollador entrega con la aplicación (Dockerfile, Compose, el securityContext del Pod), una superficie real que harden corrige y verify demuestra, así que está dentro del alcance. La administración del clúster (RBAC, etcd, API server, admission, segmentación de red) es terreno del operador y queda fuera del alcance.
- Docker Security, Node.js Docker (container)
- Kubernetes Security (container: la parte de cargas de trabajo y Pods. La administración del clúster queda fuera del alcance)
- Serverless / FaaS Security (serverless)
32. Cadena de suministro y CI/CD
- NPM Security (interpreter)
- Dependency Graph & SBOM Best Practices, Vulnerable Dependency Management (interpreter)
33. Secretos y configuración
La gestión de secretos es operativa: almacenes de secretos, CI/CD, configuración en la nube, rotación. La única faceta a nivel de código (un secreto escrito directamente en el código fuente) es un análisis determinista, no una especialización de riesgo. Se ha movido a "Fuera del alcance".
34. Procesos, diseño y gobernanza
La protección de la privacidad del usuario es una cuestión de políticas y de diseño (minimización de datos, transparencia, conservación), no una superficie en el código que defienda una especialización. Se ha movido a "Fuera del alcance".
35. Pagos y cumplimiento normativo
36. Sistemas embebidos, IoT y ámbitos especializados
La seguridad de automoción y la de drones son ámbitos de sistemas embebidos (bus CAN, firmware OTA, integridad de sensores y radio, acceso físico), no el código fuente de aplicaciones web o de API que audita Lagune. Se ha movido a "Fuera del alcance".
Fuera del alcance (sin superficie en el código)
Estos elementos no son terreno de especializaciones y no llevan casilla: son gobernanza, procesos, bastionado operativo o uso de frameworks, sin una única superficie en el código que pueda defender una especialización por superficie. Su valor para la seguridad es real, pero reside en los procesos y la arquitectura (o, en el caso de un framework, en la skill de su propio lenguaje), no en una defensa que incluya este catálogo. Se enumeran como referencia, no como trabajo pendiente.
- Authorization Regression Testing, Authorization Testing Automation
- JAAS
- Denial of Service, Denial of Service
- HTTP/2 Reset Attack
- Traffic flood
- Web Service Amplification Attack (amplificación mediante SOAP y WS-Addressing, una variante operativa de DoS sin superficie en el código)
- Cash Overflow
- Spyware, Trojan Horse (malware que afecta al usuario final, no una superficie en el código del proyecto auditado. La faceta de distribución a través del navegador está en
browser) - REST Security, REST Assessment
- Web Service Security
- Cloud Architecture Security (diseño y compromisos: IAM frente a URL firmadas, VPC públicas y privadas, fronteras de confianza, responsabilidad compartida. A diferencia de
container, no tiene una configuración concreta que compruebe una especialización) - Infrastructure as Code Security (pese a su nombre, trata del proceso del SDLC y de las herramientas para gestionar IaC: plugins de IDE, análisis estático, análisis de imágenes, CI/CD, firma. No ofrece ningún paso de patrón inseguro a forma segura dentro de un archivo de Terraform o CloudFormation)
- Kubernetes Security (solo la parte de administración del clúster: RBAC, etcd, API server, admission. La parte de cargas de trabajo y Pods está dentro del alcance en
container) - Network Segmentation (arquitectura de red y política de cortafuegos)
- Subdomain Takeover Prevention (ciclo de vida y monitorización del DNS, no código)
- Secrets Management (almacenes de secretos, CI/CD, rotación. La faceta del secreto escrito en el código es un análisis determinista, no una especialización de riesgo)
- C-Based Toolchain Hardening (opciones del compilador, del enlazador y de compilación, sin ningún sink en el código fuente)
- Microservices Security, Microservices based Security Arch Doc
- Zero Trust Architecture
- CI/CD Security, GitHub Actions Security
- Software Supply Chain Security
- Error Handling, Full Path Disclosure (configuración global del gestor de errores en cada stack. La fuga es la misma exposición de información que ya regula la gestión de errores)
- Abuse of Functionality, Business Logic Security, Abuse Case (histórico) (diseño propio de cada aplicación, sin un único sink en el código)
- User Privacy Protection (minimización de datos, transparencia, política de conservación)
- Top 10 Automotive Security Vulnerabilities, Drone Security (ámbitos de sistemas embebidos: bus CAN, firmware OTA, integridad de sensores y radio, no código fuente web o de API)
- Mobile Application Security (bastionado de las plataformas Android e iOS: almacenamiento, biometría, pinning, PII. No tiene una única superficie en el código, y la faceta de carga de código no fiable pasó a
interpreter) - Threat Modeling, Threat Modeling (página de la comunidad)
- Attack Surface Analysis
- Secure Product Design
- Secure Code Review
- Virtual Patching
- Vulnerability Disclosure
- Legacy Application Management
- Security Terminology