Seguridad de extremiana.com

[HIGH] WordPress version: La versión 5.4.4 está expuesta públicamente, lo que permite a atacantes buscar y explotar CVEs conocidos para este software desactualizado.

[HIGH] Content-Security-Policy: La ausencia de esta cabecera facilita la ejecución de ataques de Cross-Site Scripting (XSS) e inyección de contenido.

[HIGH] X-Frame-Options: No está configurada, dejando el sitio vulnerable a ataques de clickjacking donde se puede superponer contenido malicioso.

[HIGH] Strict-Transport-Security: La falta de HSTS impide que el navegador fuerce conexiones seguras, aumentando el riesgo de ataques Man-in-the-Middle.

[HIGH] Puerto 21 (FTP): Se encuentra abierto, lo que implica que la transferencia de archivos y credenciales se realiza sin cifrado de extremo a extremo.

[MEDIUM] X-Content-Type-Options: La falta de esta cabecera permite el sniffing de tipos MIME, lo que puede llevar a que archivos de texto sean ejecutados como scripts.

[MEDIUM] Referrer-Policy: No hay control sobre la información de referencia enviada a otros sitios, lo que podría filtrar rutas internas o datos de navegación.

[MEDIUM] Permissions-Policy: No se restringe el acceso a APIs sensibles del navegador como la cámara o el micrófono mediante políticas de seguridad.

[MEDIUM] Recurso HTTP: Se detectó contenido mixto debido a que un script de googlecode.com se carga a través de una conexión HTTP no segura dentro de la web HTTPS.

[MEDIUM] Archivo /readme.html: Este archivo es accesible de forma pública y puede revelar detalles técnicos específicos sobre la instalación del CMS.

[MEDIUM] Ruta /wp-login.php: El panel de acceso administrativo es visible, facilitando ataques de fuerza bruta contra las credenciales de gestión.

[MEDIUM] Puerto 22 (SSH): El puerto de acceso remoto está abierto, representando un vector de ataque si no se cuenta con una política estricta de llaves criptográficas.

[LOW] Server header expuesto: La cabecera revela el uso de servidor Apache, facilitando a los atacantes el reconocimiento de la infraestructura tecnológica.

[LOW] Meta generator: El código fuente expone explícitamente la versión WordPress 5.4.4, agilizando la fase de recolección de información del atacante.

[LOW] Ruta sensible en robots.txt: Se hace referencia a directorios de administración que deberían permanecer ocultos para evitar el mapeo de áreas críticas.