Seguridad de clinicaempresarial.unasam.edu.pe

[CRITICAL] Puerto 3306 (MySQL): La base de datos se encuentra abierta y expuesta a internet, permitiendo intentos de conexión externa y ataques de fuerza bruta.

[HIGH] Content-Security-Policy: La ausencia de esta cabecera permite la ejecución de ataques Cross-Site Scripting (XSS) e inyección de contenido malicioso.

[HIGH] X-Frame-Options: No existe protección contra clickjacking, lo que permite que el sitio sea embebido en marcos externos para engañar a los usuarios.

[HIGH] Strict-Transport-Security: La falta de configuración HSTS impide que el navegador obligue siempre el uso de conexiones seguras, facilitando ataques de degradación de protocolo.

[HIGH] Cookie XSRF-TOKEN - HttpOnly: La cookie de seguridad carece del atributo HttpOnly, lo que la hace accesible mediante scripts y vulnerable al robo de sesiones.

[MEDIUM] X-Content-Type-Options: El servidor no previene el sniffing de tipos MIME, lo que podría permitir que archivos cargados sean interpretados de forma maliciosa.

[MEDIUM] Referrer-Policy: No hay control sobre la información de navegación que se envía a sitios terceros a través de la cabecera Referer.

[MEDIUM] Permissions-Policy: Falta una política que restrinja el acceso de las APIs del navegador a funciones sensibles como cámara o micrófono.

[LOW] Server header expuesto: El encabezado revela que el sistema utiliza nginx/1.24.0 sobre Ubuntu, facilitando a los atacantes la búsqueda de vulnerabilidades específicas.

[LOW] SSL/TLS - Caducidad: El certificado de seguridad actual expira en solo 28 días, lo que representa un riesgo de interrupción de servicio a corto plazo.

[LOW] Robots.txt y Sitemap: No se encontraron estos archivos (Error 404), lo cual afecta la indexación y el control de acceso de rastreadores automáticos.