Seguridad de sisrecaudacion.unasam.edu.pe

[CRITICAL] Puerto 3306 (MySQL): La base de datos MySQL se encuentra abierta y accesible desde internet, lo que permite intentos de acceso no autorizados y ataques directos contra la información.

[CRITICAL] Puerto 5432 (PostgreSQL): El servicio de base de datos PostgreSQL está expuesto públicamente, representando un riesgo extremo de exfiltración de datos institucionales.

[HIGH] Content-Security-Policy: La ausencia de esta cabecera facilita la ejecución de ataques de inyección de contenido y Cross-Site Scripting (XSS).

[HIGH] X-Frame-Options: El sitio no cuenta con protección contra clickjacking, permitiendo que la interfaz sea embebida en marcos maliciosos para engañar a los usuarios.

[HIGH] Strict-Transport-Security: La falta de HSTS impide que el navegador fuerce conexiones cifradas, dejando la comunicación vulnerable a ataques de degradación de protocolo.

[HIGH] Cookie XSRF-TOKEN (HttpOnly): Al carecer del flag HttpOnly, la cookie es accesible mediante scripts del lado del cliente, aumentando el riesgo de robo de sesión.

[HIGH] Cookie XSRF-TOKEN (Secure): La cookie no tiene el flag Secure, por lo que puede ser transmitida a través de conexiones HTTP no cifradas.

[HIGH] Cookie tesoreria_unasam_session (Secure): El identificador de sesión se envía sin protección de cifrado obligatorio, facilitando su intercepción en la red.

[MEDIUM] X-Content-Type-Options: El servidor no previene el MIME-type sniffing, lo que podría permitir al navegador ejecutar archivos con tipos MIME incorrectos.

[MEDIUM] Referrer-Policy: No existe una política definida para el control de la información de procedencia que se comparte con otros dominios.

[MEDIUM] Permissions-Policy: No se han restringido las APIs del navegador, dejando activos permisos para componentes como cámara o micrófono innecesariamente.

[MEDIUM] Puerto 22 (SSH): El puerto de administración remota está abierto, quedando expuesto a ataques de fuerza bruta si no está debidamente restringido por IP.

[LOW] Server header expuesto: La cabecera revela el uso de openresty, proporcionando información técnica valiosa a posibles atacantes para identificar vulnerabilidades específicas.

[LOW] sitemap.xml: La ausencia de este archivo dificulta la auditoría de rutas legítimas y la correcta indexación de los recursos del sitio.