Seguridad de ntfor.com

[CRITICAL] Puerto 3306 (MySQL): El servicio de base de datos se encuentra abierto a internet, permitiendo ataques de fuerza bruta y potencial exfiltración de información sensible.

[HIGH] Puerto 21 (FTP): Servicio de transferencia de archivos sin cifrado detectado, lo que facilita la interceptación de credenciales en la red.

[HIGH] Content-Security-Policy: La ausencia de esta cabecera permite la ejecución de ataques Cross-Site Scripting (XSS) y la inyección de contenido malicioso.

[HIGH] WordPress versión 7.0 expuesta: La visibilidad pública de la versión del CMS permite a atacantes identificar y explotar vulnerabilidades conocidas (CVEs) de forma precisa.

[HIGH] Cookie PHPSESSID (HttpOnly/Secure): La falta de estas banderas permite que la cookie de sesión sea robada mediante scripts o interceptada en conexiones que no fuercen el cifrado.

[HIGH] Cookie ntfor_ut (HttpOnly): La carencia del atributo HttpOnly expone esta cookie a ser accedida maliciosamente a través del navegador.

[MEDIUM] Puerto 22 (SSH): El acceso remoto seguro está abierto, lo que representa un vector de ataque si no existen políticas de bloqueo de IP o autenticación multifactor.

[MEDIUM] Permissions-Policy: Falta esta cabecera para restringir el acceso de la web a funciones sensibles del hardware del usuario como cámara o micrófonos.

[MEDIUM] Cookie PHPSESSID (SameSite): La ausencia de este atributo hace que la sesión sea susceptible a ataques de falsificación de petición en sitios cruzados (CSRF).

[MEDIUM] Contenido Mixto: Se detectaron recursos cargados mediante HTTP (gmpg.org y bampimor.net) dentro de la página cifrada, comprometiendo la integridad del sitio.

[MEDIUM] Archivo /readme.html y /wp-login.php: Rutas accesibles que revelan información técnica del CMS y exponen el panel de administración a intentos de acceso no autorizados.

[LOW] Cabecera Server expuesta: El servidor revela el software HTTPd, proporcionando información técnica útil para la fase de reconocimiento de un ataque.

[LOW] Meta generator: La etiqueta expone directamente el uso de WordPress 7.0 en el código fuente.

[LOW] Ruta sensible en robots.txt: Se referencia el directorio admin, lo que facilita a rastreadores maliciosos la identificación de áreas restringidas.