LLM10: Improper Output Handling · 2026

Usar salidas sin validación antes de entregarlas a sistemas o renderizadores causa inyección, exfiltración o ejecución de código, incluido código generado inseguro.

Resumen

Usar salidas sin validación antes de entregarlas a sistemas o renderizadores causa inyección, exfiltración o ejecución de código, incluido código generado inseguro.

Cómo funciona el ataque

La respuesta generada se inserta directamente en el navegador; el HTML no confiable puede ejecutar código en el origen de la aplicación.

Ejemplo

Vulnerable · Pseudocódigo

answer = await llm(user_prompt)
panel.innerHTML = answer

Corrección: Usar textContent para texto; si se permite HTML, sanearlo y aplicar codificación según el contexto de destino.

Prevención

Validar y codificar toda salida según el destino.
Bloquear recursos externos y caracteres de control no permitidos.
Revisar y probar el código generado antes de ejecutarlo.

Linaje

2025 · LLM05: Improper Output Handling Baja al puesto 10 en 2026
2026 · LLM10: Improper Output Handling Baja desde el puesto 5

2025:LLM05 → 2026:LLM10: Improper Output Handling baja del puesto 5 al 10.

Fuentes

Abrir fuente oficial ↗

Invítame un café