A10:2025 – Mishandling of Exceptional Conditions

owasp

Este riesgo aparece cuando el software no previene, no detecta o responde mal ante situaciones inusuales: errores, estados inesperados, recursos insuficientes, fallos de red, parámetros faltantes o excepciones no manejadas. El resultado puede ser caída, comportamiento impredecible o vulnerabilidades.

Origen del problema

Manejo de errores “tardío” o genérico en vez de controlar fallas donde ocurren.
Estados ambientales inesperados (memoria, permisos, red) sin estrategia de control.
Excepciones no manejadas que dejan al sistema en estado incierto.
Respuestas que “fallan abierto” en vez de fallar cerrado (no se revierte/asegura).
Falta de límites (cuotas, rate limiting, throttling) que disparan condiciones excepcionales.

Ejemplo de escenario de ataque

Paso 1 – Contexto del sistema
Un flujo de transacción tiene varios pasos y depende de red y recursos.

Paso 2 – Acción general del atacante
El atacante provoca interrupciones o condiciones anómalas en momentos críticos del flujo.

Paso 3 – Resultado o impacto
El sistema no revierte correctamente, queda en estado inconsistente y se producen fallos: corrupción de estados, denegación de servicio o exposición de datos por mensajes de error.

Impacto real si no se gestiona

Caídas y degradación del servicio por agotamiento de recursos.
Estados inconsistentes en procesos críticos (operaciones incompletas).
Exposición de información sensible a través de errores.
Fraude o transacciones incorrectas por no “fallar cerrado”.
Costos operativos altos por incidentes difíciles de reproducir y corregir.

Conclusión

Los sistemas no se rompen cuando todo sale bien: se rompen cuando algo sale mal. Y si tu aplicación no sabe manejar lo anormal, un atacante solo necesita empujarla… hasta que falle a su favor.

¿Quieres dominar el nuevo OWASP Top 10 2025 de manera práctica?

Tengo disponible mi Taller: Practical OWASP Top 10:2025 (Actualizado), donde aprenderás desde cero a identificar, prevenir y probar con laboratorios prácticos los riesgos más críticos en aplicaciones web.

👉 Accede al taller aquí: Practical OWASP TOP 10 2025

Nos vemos en la siguiente entrada

Fernando Conislla