Seguridad de clrnetsec.com

[HIGH] Puerto 21 (FTP) abierto: El servicio FTP transfiere datos y credenciales en texto plano, permitiendo la interceptación de información sensible.

[HIGH] Versión de WordPress 6.9.4 expuesta: El uso de una versión antigua permite a atacantes explotar vulnerabilidades conocidas (CVEs) para tomar el control del sitio.

[HIGH] Falta de cabecera Content-Security-Policy: La ausencia de esta política facilita ataques de Cross-Site Scripting (XSS) e inyección de datos.

[HIGH] Falta de cabecera X-Frame-Options: El sitio es susceptible a ataques de clickjacking, donde un atacante puede engañar al usuario para que realice acciones no deseadas.

[HIGH] Falta de cabecera Strict-Transport-Security: No se obliga al navegador a usar conexiones HTTPS, permitiendo ataques de degradación de protocolo.

[MEDIUM] Contenido mixto detectado: Existen 2 recursos cargándose mediante HTTP, lo que debilita el cifrado SSL y permite la manipulación de scripts o imágenes.

[MEDIUM] Falta de cabecera X-Content-Type-Options: Permite que el navegador intente adivinar el tipo de contenido, facilitando la ejecución de archivos maliciosos disfrazados.

[MEDIUM] Falta de cabecera Referrer-Policy: No se controla la información que se envía a otros sitios al hacer clic en enlaces, comprometiendo la privacidad.

[MEDIUM] Falta de cabecera Permissions-Policy: El sitio no restringe el acceso a funciones del navegador como la cámara o el micrófono.

[MEDIUM] Panel de login expuesto: La ruta /wp-login.php es accesible públicamente, facilitando ataques de fuerza bruta contra las cuentas de usuario.

[LOW] Cabeceras de servidor expuestas: Se revela el uso de nginx y versiones de PHP/Plesk, información útil para que un atacante planifique un exploit específico.

[LOW] Meta generator expuesto: La etiqueta meta confirma públicamente que se utiliza la versión 6.9.4 de WordPress.

[LOW] Rutas sensibles en robots.txt: Se hace referencia directa a directorios de administración, revelando estructuras internas del sitio.