Seguridad de oficinavirtual.edesa.com.ar

[HIGH] Content-Security-Policy: La ausencia de esta cabecera permite la ejecución de scripts no autorizados, facilitando ataques de XSS e inyección de contenido malicioso.

[HIGH] X-Frame-Options: Al no estar configurada, el sitio es susceptible a ataques de clickjacking, donde un atacante puede cargar la web en un marco invisible para engañar al usuario.

[HIGH] Strict-Transport-Security: La falta de HSTS permite que las conexiones puedan ser degradadas de HTTPS a HTTP, facilitando ataques de hombre en el medio (MitM).

[MEDIUM] X-Content-Type-Options: La falta de esta cabecera permite al navegador intentar adivinar el tipo de contenido, lo que puede ser explotado para ejecutar archivos peligrosos disfrazados de elementos inocuos.

[MEDIUM] Referrer-Policy: No existe control sobre la información de navegación que se envía a sitios externos, lo que podría filtrar rutas internas sensibles.

[MEDIUM] Permissions-Policy: El sitio no restringe el acceso a funciones del hardware del usuario como cámara, micrófono o geolocalización desde el navegador.

[MEDIUM] Exposición de archivos README: Los archivos /readme.html y /README.txt son accesibles públicamente, lo que revela información técnica sobre la infraestructura del sitio.

[MEDIUM] Rutas administrativas expuestas: Se detectó acceso público a paneles de gestión en /wp-login.php, /administrator/ y /user/login, aumentando el riesgo de ataques de fuerza bruta.

[LOW] Server header expuesto: El servidor revela el uso de AmazonS3, proporcionando información útil para que un atacante dirija exploits específicos contra esa tecnología.