ci-validation
Advanced tools
🇺🇾 Complete TypeScript/JavaScript library for validating Uruguayan CI (Cédula de Identidad) with official algorithm and government service integration
- MEF: Sistema permite autocompletar datos personales sensibles (fecha nacimiento + nombres) con solo ingresar una cédula
- AIN: Vulnerabilidad considerada solucionada ha resurgido, autocompletado activo nuevamente
- CGN: Formularios judiciales exponen información personal sin verificación de autorización
- Falta de verificación: Ningún sistema valida si el usuario está autenticado correctamente
- Sin verificación de identidad: No verifican si el trámite se realiza para uno mismo o para terceros
- Exposición masiva: Información personal accesible sin autorización adecuada en múltiples organismosTADO ACTUAL DE SERVICIOS GUBERNAMENTALES**:
- ⚠️ Formulario MEF VULNERABILIDAD ACTIVA: https://www.tramitesenlinea.mef.gub.uy/Apia/portal/tramite.jsp?id=2629 expone fecha de nacimiento y nombre completo sin autenticación adecuada
- ⚠️ Formulario AIN VULNERABILIDAD RESURGIÓ: https://tramites.ain.gub.uy autocompletado de primer nombre y primer apellido activo nuevamente
- ❌ Formularios de Lotería inoperativos: Todos los formularios que requieren cédula permanecen fuera de servicio desde 31/07/2025
- ⚠️ Formulario CGN VULNERABLE: Devolución de timbre judicial funciona con autocompletado no autorizado
📊 Estado crítico: Múltiples vulnerabilidades gubernamentales activas simultáneamente. Uruguayas
📅 ACTUALIZACIÓN DE SEGURIDAD 07/08/2025:
⚠️ VULNERABILIDAD MEF RESURGIÓ: La vulnerabilidad en el formulario https://www.tramitesenlinea.mef.gub.uy/Apia/portal/tramite.jsp?id=2629 volvió a resurgir. El sistema de autenticación implementado no verifica correctamente la autenticación y permite el acceso anónimo exponiendo:
- Fecha de nacimiento completa
- Nombre completo de cualquier ciudadano
⚠️ VULNERABILIDAD AIN RESURGIÓ: La vulnerabilidad en el formulario https://tramites.ain.gub.uy que se consideraba solucionada ha vuelto a aparecer, exponiendo nuevamente:
- Primer nombre del titular
- Primer apellido del titular
- Autocompletado automático sin autenticación efectiva
⚠️ VULNERABILIDAD CGN ACTIVA: El formulario de devolución de timbre judicial https://www.cgn.gub.uy ahora funciona pero con vulnerabilidades:
- Autocompletado no autorizado en contexto judicial
- Exposición de datos en procesos legales sensibles
� PROBLEMA DE SEGURIDAD CRÍTICO:
- El sistema permite autocompletar datos personales sensibles con solo ingresar una cédula
- No valida si el usuario está autenticado correctamente con el gobierno
- No verifica si el trámite se realiza para uno mismo o para terceros
- Expone información personal sin autorización adecuada
✅ MEJORAS TÉCNICAS IMPLEMENTADAS:
- ✅ Extracción de datos mejorada: Soporte para el nuevo formato de formularios AIN_FRM_GRAL_DATOS_PERSONALES
- ✅ Información adicional: Tipo de documento, país emisor, y componentes individuales de nombres y apellidos
- ✅ Manejo de errores optimizado: Mensajes más descriptivos y manejo específico por tipo de error
- ✅ Validación mejorada: Verificación de formato de cédula antes del procesamiento
- ✅ Compatibilidad dual: Funciona con formatos antiguos y nuevos de formularios gubernamentales
- ✅ Logging mejorado: Mayor detalle en los logs para debugging y monitoreo
📊 ESTADO ACTUAL DE SERVICIOS GUBERNAMENTALES:
- ⚠️ Formulario MEF VULNERABILIDAD ACTIVA: https://www.tramitesenlinea.mef.gub.uy/Apia/portal/tramite.jsp?id=2629 expone fecha de nacimiento y nombre completo sin autenticación adecuada
- ✅ Formulario AIN parcialmente solucionado: Requiere autenticación pero algunos endpoints aún accesibles
- ❌ Formularios de Lotería inoperativos: Todos los formularios que requieren cédula permanecen fuera de servicio desde 31/07/2025
- ❌ Formulario CGN afectado: Devolución de timbre judicial con autocompletado no funcional por dependencia de API deshabilitada
📊 Estado crítico: Nueva vulnerabilidad de privacidad detectada en sistemas MEF.
Ver reporte completo actualizado para detalles técnicos.
⚠️ Información para Ciudadanos Uruguayos
Este proyecto surge del análisis de seguridad en sistemas públicos debido a:
🔍 Ausencia de programas de recompensas por reportes de seguridad en entidades públicas
🔍 Falta de canales formales para reportar vulnerabilidades en sistemas gubernamentales
🔍 Necesidad de transparencia en el estado de la ciberseguridad pública
🔍 Importancia de la educación ciudadana sobre protección de datos personales🎯 Objetivo: Informar sobre el estado de los sistemas informáticos públicos y promover mejores prácticas de seguridad en el manejo de información ciudadana.
📋 Este proyecto contribuye a:
- Generar conciencia sobre la importancia de la ciberseguridad pública
- Documentar el estado actual de los sistemas gubernamentales
- Promover la transparencia en la gestión de sistemas públicos
- Educar sobre buenas prácticas de protección de datos
Consulte el 📄 Reporte de Vulnerabilidades para información técnica detallada.
Una API RESTful construida con TypeScript y Express siguiendo los principios SOLID para validar cédulas de identidad uruguayas y consultar información a través del formulario oficial del MEF (Ministerio de Economía y Finanzas).
{
"success": true,
"data": {
"persona": {
"nombre": "EDELMA",
"apellido": "de SOUZA",
"cedula": "14115499",
"tipoDocumento": "Cédula de Identidad",
"paisEmisor": "URUGUAY",
"primerNombre": "EDELMA",
"primerApellido": "de SOUZA",
"processingTime": 1250,
"hasSession": true
}
}
}
¡Esta funcionalidad también está disponible como paquete npm!
# Instalar el paquete
npm install ci-validation
# Uso básico
import { validateCIAndQuery } from 'ci-validation';
const result = await validateCIAndQuery('19119365');
console.log(result);
// Output (solo validación local - servicios gubernamentales con vulnerabilidades):
// {
// "success": true,
// "data": {
// "ci": "19119365",
// "isValid": true,
// "normalizedCi": "19119365",
// "info": "Validación local únicamente - Servicios gubernamentales presentan vulnerabilidades desde 07/08/2025"
// }
// }
🔗 Enlaces del paquete:
CiValidator: Solo se encarga de validar cédulasCiService: Solo maneja las consultas a la API externaCiController: Solo maneja las peticiones HTTP# Instalar la librería
npm install ci-validation
# Uso básico
import { validateCI, validateCIAndQuery } from 'ci-validation';
// Validación simple
console.log(validateCI('19119365')); // true
// Validación con consulta (servicios gubernamentales con disponibilidad limitada)
const result = await validateCIAndQuery('19119365');
console.log(result);
# Instalar globalmente para usar desde línea de comandos
npm install -g ci-validation
```bash
# Usar el CLI
ci-validate 19119365
ci-validate 19119365 --query # Consulta a servicios gubernamentales (disponibilidad limitada)
# Clonar repositorio
git clone <url-del-repo>
cd ci-validation-api
# Instalar dependencias
npm install
# Modo desarrollo
npm run dev
# Construir para producción
npm run build
# Iniciar en producción
npm start
Verifica el estado de la API
Respuesta:
{
"status": "ok",
"timestamp": "2025-07-30T12:00:00.000Z"
}
Valida una cédula de identidad uruguaya
Request Body:
{
"ci": "19119365"
}
Respuesta exitosa:
{
"success": true,
"data": {
"ci": "19119365",
"isValid": true,
"info": "Información obtenida del formulario oficial del MEF..."
}
}
Respuesta con error:
{
"success": false,
"error": "Cédula inválida: formato incorrecto"
}
Endpoint de demostración con una cédula de ejemplo
Página web interactiva para probar la API
La página de demostración incluye:
Características técnicas:
# Ejecutar tests
npm test
# Ejecutar linting
npm run lint
# Corregir problemas de linting
npm run lint:fix
El proyecto está optimizado para deployment serverless en Vercel:
/api//public/vercel.json maneja el routingapi/
├── index.ts # Endpoint raíz (GET /)
├── health.ts # Health check (GET /health)
├── validate.ts # Validación (POST /api/ci/validate)
└── demo.ts # Demo API (GET /api/ci/demo)
public/
└── index.html # Página demo (GET /demo)
https://ci-validation.vercel.app/https://ci-validation.vercel.app/healthhttps://ci-validation.vercel.app/api/ci/validatehttps://ci-validation.vercel.app/demoNODE_ENV: productionPORT: Puerto del servidor (automático en Vercel)src/
├── controllers/ # Controladores HTTP
│ └── CiController.ts
├── services/ # Servicios de negocio
│ └── CiService.ts
├── validators/ # Validadores
│ └── CiValidator.ts
├── interfaces/ # Definiciones de tipos
│ ├── ICiValidator.ts
│ ├── ICiService.ts
│ └── ApiResponse.ts
├── middleware/ # Middlewares personalizados
│ └── errorHandler.ts
├── routes/ # Definición de rutas
│ └── ciRoutes.ts
├── utils/ # Utilidades
│ └── dependencyContainer.ts
└── index.ts # Punto de entrada
La validación sigue el algoritmo oficial uruguayo:
git checkout -b feature/AmazingFeature)git commit -m 'Add some AmazingFeature')git push origin feature/AmazingFeature)Si tienes permisos de publicación:
# Verificar build
npm run build
# Dry run
npm run publish:dry
# Publicar
npm run publish:npm
# O incrementar versión y publicar
npm version patch # o minor/major
npm run publish:npm
Ver guía completa de publicación para más detalles.
Este proyecto está bajo la Licencia MIT. Ver el archivo LICENSE para más detalles.
FAQs
🇺🇾 Complete TypeScript/JavaScript library for validating Uruguayan CI (Cédula de Identidad) with official algorithm and government service integration
We found that ci-validation demonstrated a healthy version release cadence and project activity because the last version was released less than a year ago. It has 1 open source maintainer collaborating on the project.
Did you know?
Socket for GitHub automatically highlights issues in each pull request and monitors the health of all your open source dependencies. Discover the contents of your packages and block harmful activity before you install or update your dependencies.
Research
/Security News
Socket researchers uncover how threat actors weaponize Discord across the npm, PyPI, and RubyGems ecosystems to exfiltrate sensitive data.
Security News
Socket now integrates with Bun 1.3’s Security Scanner API to block risky packages at install time and enforce your organization’s policies in local dev and CI.
Research
The Socket Threat Research Team is tracking weekly intrusions into the npm registry that follow a repeatable adversarial playbook used by North Korean state-sponsored actors.