Type Confusion (en APIs)

La API espera un string.

​

Type Confusion (en APIs)

La API espera un string.

Categoría: Web · OWASP Top 10

🎯 Trinchera — La API espera un string. Le mandas un array, un booleano o un objeto anidado. El parser del lenguaje fuertemente tipado entra en pánico y vomita un stack trace completo, delatando el framework.

🔗 Kill chain — Reconocimiento pasivo. No es exploit per se; te da fingerprint del backend (Spring Boot, Laravel, Express) sin disparar el WAF.

📡 Huella defensiva — El error en sí no es alarmante para el WAF (no hay SQL, ni XSS), pero sí debería loguearse como excepción no controlada.

⚠️ Falso amigo — Confiar en Server: Cloudflare para asumir opacidad. Cloudflare oculta cabeceras, no errores de aplicación.

🛡️ Remediación — Manejador global de excepciones que devuelve respuestas estériles. Mismo código HTTP, mismo cuerpo, sin importar qué falló.

// Express middleware global
app.use((err, req, res, next) => {
  console.error(err); // log interno
  res.status(400).json({ status: 400, error: "Invalid payload" });
});

---

← Volver al glosario completo

Última actualización: 2026-06-11