Bug Bounty + CVE Hunting

Roadmap 12 meses para entrar al bug bounty desde cero, top 10 vulns pagadas en 2025, primer CVE en open-source, recon stack ProjectDiscovery y errores que descalifican un report.

​

Bug Bounty + CVE Hunting

HackerOne pagó $81M en 12 meses (jul 2024-jun 2025), +13 % YoY. Vulnerabilidades de IA crecieron +210 % YoY; prompt injection +540 %. Si tienes base de programación (PHP, JS, Python), bug bounty es el camino paralelo a OSCP que monetiza desde el primer mes y construye portfolio público auditable.

Realismo: ~5 % de los hunters monetiza significativamente. El ingreso medio del primer año va de $0 a$3K para la mayoría. Pero construir portfolio público (CVEs, Halls of Fame, reports disclosed) cambia tu CV permanentemente — vale el esfuerzo aunque no monetices al inicio.

​

Estado del mercado bug bounty 2026

​

Top 5 plataformas

#	Plataforma	Mejor para
1	HackerOne	Líder global, mayor volumen de programas y bounties
2	Bugcrowd	Mindshare 33.7 % (subiendo); más programas privados, pagos rápidos
3	Intigriti	Más recomendada para principiantes 2026. Onboarding más limpio. NVIDIA enterprise allí desde 2025
4	YesWeHack	50.000+ hunters, fuerte en Europa/francófonos, “Dojo” formativo gratis
5	Synack	Cerrada — sólo invitación tras track record en HackerOne/Bugcrowd. No es entrada

​

Tipos de programa

• VDP — Sin pago, sólo “swag”/reconocimiento. Practicar legalmente y construir CV.
• Programa público — Cualquiera reporta; competencia alta, payout medio.
• Programa privado — Por invitación basada en reputación; menor competencia, mejor pago.

​

Cifras 2025 reales

• 85.000 reportes válidos en HackerOne en 2025 (+7 %).
• Top 100 hunters all-time: $31.8M acumulado.
• AI vulnerabilities +210 % YoY, prompt injection +540 %.
• 1.121 programas con AI in scope (+270 %).
• IDOR +29 %, IAC +18 %, mientras XSS y SQLi caen.
• 70 % de hunters usan AI (Caido, ChatGPT, Claude) en su workflow 2025.

Fuentes: BleepingComputer — HackerOne $81M, HackerOne 2025 HPSR.

---

​

Roadmap 12 meses (2026)

​

Mes 1-2 — PortSwigger Web Security Academy

portswigger.net/web-security/learning-paths — 190+ labs, gratis. Ritmo 7 labs/día = 1 mes.

Orden recomendado:

1. Server-side: SQLi → Authentication → Path traversal → Command injection → Business logic → Information disclosure.
2. SSRF (foco fuerte: paga muy bien — ver §5).
3. Client-side: XSS → CSRF → CORS → Clickjacking.
4. Advanced: Access control / IDOR → JWT → OAuth/SAML → GraphQL → Race conditions → Prototype pollution → HTTP request smuggling.
5. Hacer “Mystery labs” semanalmente para simular caza real.

​

Mes 3-4 — VDPs gratuitos (10 con URL exacta)

#	Programa	Ámbito
1	U.S. Department of Defense	El más grande del mundo, swag + Hall of Fame
2	NASA VDP	Activos públicos
3	GitLab	Paga + tiene VDP en código abierto
4	Mozilla	Web bounty + client bounty
5	CISA federal civilian agencies	Multi-agencia US
6	Department of Justice	Federal US
7	GSA Login.gov	VDP en HackerOne
8	Department of Commerce	Federal US
9	HHS.gov	Federal US
10	WiCyS VDP	Orientado formación

Repo curado (200+ programas): github.com/projectdiscovery/public-bugbounty-programs.

​

Mes 5-6 — Programas pequeños (€50-€500)

Patchstack (WordPress plugins), Hostinger, programas españoles y europeos en Intigriti. Filtrar por bounty mínimo bajo.

​

Mes 7-12 — Programas serios

Shopify, GitLab pagado, Uber. Aplicar a privados conforme suba reputación HackerOne (>500 reputación abre invitaciones).

---

​

Top 10 vulnerabilidades pagadas 2024-2025

Basado en HPSR HackerOne 2025 + reports disclosed:

#	Tipo	Bounty típico (P1/Crítico)	Notas 2025
1	SSRF con cloud creds	$5K-$50K	Sigue siendo top. Payouts altos cuando llega a metadata IMDS
2	IDOR / Improper Access Control	$1K-$15K	+29 % YoY en reportes válidos. Tendencia clara
3	OAuth/SAML/SSO misconfig	$3K-$25K	Account takeover full = P1
4	Business logic privilege escalation	$2K-$20K	Difícil triagear, paga muy bien si demuestras impacto
5	Prototype pollution → RCE	$1K-$10K (web), $20K+ (cadena RCE)	js-yaml, lodash siguen activos
6	JWT confusion / alg:none	$500-$5K	Suele ser P2-P3
7	Subdomain takeover	$200-$3K	Bajo bounty individual, alto volumen, ideal principiante
8	GraphQL introspection + abuse	$500-$10K	Mutaciones expuestas → IDOR/auth bypass
9	Race conditions (TOCTOU, balance dup)	$500-$15K	”Single packet attack” Kettle 2024 reactivó la categoría
10	Open redirect → SSO chain	$500-$5K	Sólo paga si encadenas a token theft o ATO

​

Severidad → bounty (HackerOne medio plataforma)

Severidad	Bounty típico
P1 Critical	$5K-$50K+ (top programs $100K+)
P2 High	$1K-$10K
P3 Medium	$250-$2K
P4 Low	$50-$500

Bugcrowd usa VRT propio en lugar de CVSS: Bugcrowd VRT.

Reports públicos disclosed (formación): github.com/reddelexc/hackerone-reports.

---

​

Reconnaissance moderno 2026

​

Stack ProjectDiscovery (de facto)

subfinder -d target.com -all | \
  dnsx -silent | \
  httpx -tech-detect -title -status-code | \
  nuclei -t cves/ -severity critical,high

Tool	Para qué
subfinder	Pasivo, +30 fuentes
amass enum -passive	Complementario, encuentra cosas distintas
httpx	Vivos + tech fingerprint
nuclei	Templates community, foco -tags takeover,exposure,cve
dnsx	Resolución masiva
katana	Crawler moderno (sucede a hakrawler)

​

GitHub recon

Tillson Galloway “GitHub Recon Checklist 2025”:

• trufflehog — verifica que el secret sigue vivo (mejor que gitleaks para bug bounty real). Soporta S3, Docker, Slack.
• gitleaks — más rápido para barrer.
• “Oops commits” — Sharon Brizinov sacó $25K en 2025 escaneando dangling commits del GitHub Archive.
• Dorks útiles: org:target "api_key", org:target filename:.env, "target.com" password.

​

Históricos

• gau + waybackurls para URLs archivadas.
• unfurl para extraer params únicos.

​

JS analysis

• LinkFinder — extrae endpoints/params de JS bundles.
• JSluice (TomNomNom) — sucesor mejor: extrae secrets/URLs por uso, no sólo regex.
• SecretFinder — complementa.

​

Subdomain takeover / dangling DNS

SentinelOne reportó >1.250 instancias en clientes en 2024-2025. Templates nuclei subdomain-takeover/ cubren GitHub Pages, Heroku, Vercel, S3, Shopify. Lista mantenida: github.com/EdOverflow/can-i-take-over-xyz.

---

​

Tu primer CVE en open-source

​

Selección de proyecto

• Stars 100-5.000 (suficientemente serio, no auditado a muerte).
• Último commit <6 meses (mantenido).
• Sin SECURITY.md fuerte, sin CVEs previos: indica que nadie ha auditado.
• Lenguaje que dominas (PHP, JS, Python encajan perfecto).
• Filtrar por: paquete con >10K downloads/semana en npm/PyPI = mayor impacto reportado.

​

Clases de fallo “first-CVE” típicos 2025

Clase	Ejemplos 2025	Patrón
Prototype pollution en npm	lodash CVE-2025-13465, js-yaml CVE-2025-64718, csvtojson CVE-2025-57350	_.set/_.merge, Object.assign recursivo sin sanitizar __proto__/constructor/prototype
Path traversal en parsers	Zip, tar, archivos config	../ en nombres procesados sin path.normalize() + validación
SSRF en webhooks	Endpoints que aceptan URL de usuario	Sin allowlist de schemes/dominios
Deserialization	PHP unserialize, Python pickle, Java	Input controlado por usuario
GitHub Actions pwn requests	CVE-2025-61671 (Microsoft Symphony, CVSS 9.3), CVE-2025-47928 (Spotipy)	pull_request_target + checkout de PR no confiable

Tools clave:

• Gato-X (offensive, Actions audit)
• poutine (defensive)

​

Proceso CNA

Ruta	Cuándo	Tiempos
GitHub Security Advisory	Proyectos en GitHub	CVE en 1-3 semanas
MITRE webform (cveform.mitre.org)	Proyecto no en GitHub o ya con CNA	3-6 semanas
CNA propio del producto	Microsoft, Apache, GitLab, npm	Variable

Si el producto tiene CNA propio debes ir por ellos. MITRE/GitHub rechazan duplicados.

Disclosure timeline estándar:

• 90 días (Project Zero).
• +30 días prorrogable si hay parche en preparación.
• CERT-EU/Northwave usan política 90+30.

---

​

Supply chain pentesting

Técnica	Estado 2026
Typosquatting	PyPI elimina cientos al mes. Reportable como vuln al mantener legítimo si reproduces el daño
Repo-jacking	36.983 repos vulnerables encontrados; ~3 % éxito en GitHub. Buscar dependencies que apunten a usernames inexistentes
Dependency confusion	Sigue funcionando 2026 si la víctima no fija registry. AVISO: zona gris legal — sólo en programas con scope explícito
GitHub Actions pwn requests	Categoría caliente 2025-2026. CVE-2025-30066 (tj-actions/changed-files, 23K repos afectados, CVSS 8.6)

Fuentes: Checkmarx — repo-jacking, Wiz — tj-actions changed-files supply chain.

---

​

Cómo redactar un report aceptado

​

Estructura HackerOne validada

1. Title — [Vuln type] in [endpoint] allows [impact]. Ejemplo: “Reflected XSS in /search?q= allows session theft”.
2. Summary — 2-3 frases: qué es, dónde, qué consigue el atacante.
3. Steps to reproduce — numerados, copy-paste cURL/Burp request, screenshots por paso.
4. Proof of concept — GIF/video ≤2min. Hosted en HackerOne (no externos).
5. Impact — escenario concreto: “Atacante puede [X] resultando en [pérdida de Y]”. CVSS calculado.
6. Suggested mitigation — opcional, suma puntos.

​

Disparadores instantáneos de “Informative” / “N/A”

⚠️ Lista de descalificación instantánea

Estos hallazgos son rechazo casi seguro a menos que aportes chain o impacto demostrado:

• Logout CSRF (universalmente rechazado).
• Missing security headers sin demo de impacto.
• Self-XSS sin pivote.
• Open redirect sin chain.
• Vulns en scope explícitamente excluido (LEER policy).
• Tabnabbing puro sin chain.
• Banner grabbing / version disclosure aislado.
• DoS sin accept-risk del programa.

​

Apelar severidad

No discutas tono — añade datos. Demuestra escenario de explotación más amplio, encadena con otra vuln, calcula CVSS con vector justificado. Pide reasignación citando casos similares de la propia política.

---

​

Disputas, fraude y horror stories 2024-2026

Caso	Año	Aprendizaje
Apple-$50K silent patch	2024	Investigador reportó vuln que cumplía criterio público; Apple parcheó silencioso sin pagar y le baneó el Apple ID tras publicarlo. Apple subió en oct 2025 RCE max a $2M para callar la crítica
HackerOne ghosted $8.5K	ene 2026	Documentado en The Register: cobro paralizado en la propia plataforma
IBB suspendido	mar 2025	HackerOne pausó nuevas submissions al Internet Bug Bounty por backlog. Si planeas vivir de OS CVEs vía IBB, ojo
Microsoft 2025	—	$17M pagados, modelo “In Scope by Default” para vulns críticas en cualquier producto. Disputas raras

​

Bug colisiones (duplicates)

• Política universal: first-come, first-served, decide timestamp del report.
• Protección: reportar inmediatamente, guardar capturas con metadata, no compartir POC en privado antes de reportar.
• Si llega marcado dup pero aportas variante novel, pide partial bounty con argumento técnico.

​

Protección legal personal

• Nunca testees fuera de scope.
• Guarda toda comunicación.
• Para CVEs OS: usa GitHub Security Advisory privado primero (ventana 90 días), nunca post público antes del fix sin acuerdo.
• Considera VPN dedicada y cuenta separada para trabajo de hunt.

---

​

Recursos persistentes

• HackerOne Hacker101
• PortSwigger Academy
• Methodology repo (amrelsagaei 2025)
• Disclosed reports curados
• Public programs lista
• GitLab vuln DB (npm/PyPI por categoría)
• NahamSec recon talks
• STÖK videos

---

​

Recursos relacionados

• Recon web profesional — Pasivo, fingerprinting, type confusion.
• Glosario táctico — IDOR, SSRF, JWT, Mass Assignment.
• Cloud Pentest — Vectores cloud que pagan top bounties.
• LLM Security — Categoría +540 % YoY en HackerOne 2025.