🔑 Recuperar Contraseña

Te enviaremos tu contraseña por email

Emails de prueba: alice.mendez@gmail.com, roberto.silva@empresa.cl

← Volver al registro

A04:2025 Básica

🔴 VULNERABLE

Cryptographic Failures

El sistema de "olvidé mi contraseña" tiene un problema grave:

Envía la password actual en lugar de un link de reset.

Esto implica que Nexo puede recuperar tu password — o sea que no está hasheada correctamente.

# Probá con un email existente:
alice.mendez@gmail.com

# El sistema te va a "enviar" la password
# (en un sistema real, interceptarías el email)

Herramientas: Browser

// NUNCA enviar la password actual.
// Generar token temporal de un solo uso:

$token = bin2hex(random_bytes(32));
$expiry = date("Y-m-d H:i:s", strtotime("+1 hour"));

// Guardar token en BD, enviar link:
// /reset.php?token=abc123...

// El link expira en 1 hora y se invalida al usarse

LinkedIn (2012)

No solo los hashes eran débiles — el breach expuso que no tenían proceso de reset seguro.

CWEs: CWE-916 CWE-327 CWE-640