Seguridad de blog.evenor-tech.com

[CRITICAL] Puerto 3389 (RDP) abierto: El servicio de Escritorio Remoto de Windows es visible públicamente, lo que permite ataques de fuerza bruta directos contra la infraestructura.

[HIGH] Falta de Content-Security-Policy (CSP): La ausencia de esta directiva permite la ejecución de scripts maliciosos externos y ataques de inyección de contenido.

[HIGH] Falta de X-Frame-Options: El sitio no previene ser cargado dentro de marcos externos, lo que facilita ataques de secuestro de clic o clickjacking.

[HIGH] Falta de Strict-Transport-Security (HSTS): No se obliga al navegador a mantener conexiones seguras, permitiendo ataques de degradación de protocolo de HTTPS a HTTP.

[MEDIUM] Falta de X-Content-Type-Options: El servidor no previene el rastreo de tipos MIME, lo que podría permitir que archivos de texto sean interpretados como scripts ejecutables.

[MEDIUM] Exposición de rutas de administración y archivos: Se detectó acceso público a paneles de login y archivos como /readme.html o /README.txt que revelan detalles técnicos.

[MEDIUM] Falta de Referrer-Policy y Permissions-Policy: No existe control sobre la información de navegación enviada a terceros ni sobre las capacidades del navegador permitidas.

[LOW] Cabecera de servidor expuesta: El campo Server revela el uso de nginx/1.24.0 sobre Ubuntu, facilitando la búsqueda de vulnerabilidades específicas para esa versión.