Seguridad de muplusone.com

[HIGH] Puerto 21 (FTP) ABIERTO: El servicio de transferencia de archivos opera sin cifrado, permitiendo la interceptación de credenciales y datos en tránsito.

[HIGH] Content-Security-Policy (CSP) ausente: La falta de esta cabecera permite la ejecución de scripts maliciosos y ataques de inyección de contenido (XSS).

[HIGH] X-Frame-Options ausente: El sitio no previene ser cargado en iframes, facilitando ataques de clickjacking para engañar a los usuarios.

[HIGH] Strict-Transport-Security (HSTS) no configurado: El navegador no es forzado a usar HTTPS, permitiendo ataques de degradación de SSL (SSL Stripping).

[HIGH] Cookie PHPSESSID sin flag HttpOnly: La cookie de sesión es accesible mediante JavaScript, lo que facilita el robo de identidad tras un ataque XSS.

[MEDIUM] Cookie PHPSESSID sin flag SameSite: La ausencia de este atributo hace que el sitio sea vulnerable a ataques de falsificación de petición en sitios cruzados (CSRF).

[MEDIUM] Rutas de login expuestas: Los paneles de acceso en /administrator/ y /user/login están disponibles públicamente, aumentando el riesgo de ataques de fuerza bruta.

[MEDIUM] X-Content-Type-Options ausente: El servidor no previene el MIME-type sniffing, lo que puede derivar en la ejecución de archivos maliciosos disfrazados.

[MEDIUM] Referrer-Policy ausente: No se controla qué información de origen se envía a otros sitios, comprometiendo la privacidad de la navegación.

[MEDIUM] Permissions-Policy ausente: El sitio no restringe el acceso a funciones sensibles del navegador como la cámara o el micrófono.

[LOW] Cabecera Server expuesta: Se revela el uso de LiteSpeed, facilitando a un atacante la búsqueda de exploits específicos para ese software.

[LOW] Cabecera X-Powered-By expuesta: Se detecta el uso de PHP/7.4.33, revelando una versión específica del lenguaje de programación.

[LOW] Ruta sensible en robots.txt: Se hace referencia directa a un directorio administrativo, guiando a posibles atacantes hacia zonas restringidas.