Las 10 categorías oficiales, con qué buscar en la práctica y qué tools de este framework aplican en
cada una. Para el mapeo automático hallazgo → OWASP que ya hace Argus, ver map_compliance en
argus_agent.py — esto es la referencia humana, no la fuente de verdad del mapeo.
A01:2021 — Broken Access Control
IDOR, escalación vertical/horizontal de privilegios, bypass de controles de autorización vía manipulación de parámetros/rutas. En la práctica: probar CADA endpoint con un usuario de menor privilegio, cambiar IDs numéricos/UUIDs en la URL o el body, revisar si el control de acceso vive solo en el frontend. Tools: fuzzing de parámetros (ffuf/arjun), inspección manual con Burp/http-framework.
A02:2021 — Cryptographic Failures
Datos sensibles en tránsito o reposo sin cifrar, algoritmos débiles (MD5/SHA1 para passwords), TLS
mal configurado, claves hardcodeadas. Tools: scan_repo_secrets, testssl.sh/sslyze para TLS,
cloud_storage_recon para buckets sin cifrado.
A03:2021 — Injection
SQLi, NoSQLi, command injection, XSS (técnicamente injection también), LDAP injection. La categoría con más tooling automatizado del framework: sqlmap, nuclei, dalfox (XSS), ffuf con payloads.
A04:2021 — Insecure Design
Fallas de diseño que ningún parche corrige — ausencia de rate limiting por diseño, flujos de negocio que asumen buena fe del cliente (ej. precio editable desde el frontend). No se automatiza bien; requiere entender el flujo de negocio completo antes de decidir qué probar.
A05:2021 — Security Misconfiguration
Headers de seguridad faltantes, directory listing habilitado, paneles admin expuestos, mensajes de
error verbosos, configuración por defecto sin endurecer. Tools: nikto, nuclei (templates de misconfig),
browser_agent_inspect (headers, CSP).
A06:2021 — Vulnerable and Outdated Components
Componentes con CVEs conocidos sin parchar. Tools: lookup_cve (EPSS + CISA KEV, no solo CVSS crudo),
wpscan para WordPress, fingerprinting de versión (httpx, whatweb).
A07:2021 — Identification and Authentication Failures
Contraseñas débiles, ausencia de MFA, gestión de sesión rota (tokens predecibles, sin expiración,
sin invalidación en logout), enumeración de usuarios vía mensajes de error distintos. Tools: hydra,
weakpass_lookup, leakcheck_lookup (credenciales ya filtradas).
A08:2021 — Software and Data Integrity Failures
Actualizaciones/dependencias sin verificar integridad (sin firma, sin checksum), deserialización
insegura, pipelines CI/CD sin controles. Relacionado con scan_repo_secrets cuando el problema es una
dependencia de terceros comprometida.
A09:2021 — Security Logging and Monitoring Failures
Ausencia de logs de eventos de seguridad, o logs que existen pero nadie revisa — normalmente se detecta por AUSENCIA de evidencia (no hay alertas ante intentos de explotación activa durante el engagement), no por un hallazgo técnico directo.
A10:2021 — Server-Side Request Forgery (SSRF)
La app hace requests salientes a una URL controlada por el atacante — acceso a metadata de cloud (169.254.169.254), pivote a servicios internos no expuestos. Buscar cualquier funcionalidad que reciba una URL como parámetro (webhooks, previews de imagen, importadores).