Scanner de Vulnerabilidades e Superfície de Ataque CMS
Audite seu WordPress, Drupal ou CMS headless contra enumeração de usuários na REST API, endpoint XML-RPC ativo e vazamento de versão.
Visão geral & por que isso é importante
Sistemas de Gerenciamento de Conteúdo (CMS) sustentam mais de 70% dos sites da web, sendo o alvo primordial de ataques automatizados de botnets e sequestro de servidores.
Instalações desprotegidas frequentemente expõem os nomes de usuário através da REST API (/wp-json/wp/v2/users), mantêm o protocolo obsoleto XML-RPC ativo para ataques de força bruta e divulgam versões exatas do núcleo.
Vetores críticos de ataque mitigados pela blindagem de CMS
Bloqueio de Enumeração de Usuários (REST API)
A REST API pública expõe os slugs e nomes dos autores, fornecendo aos cibercriminosos 50% das credenciais de acesso para ataques de força bruta.
Mitigação de Ataques de Força Bruta por XML-RPC
O arquivo /xmlrpc.php permite que invasores testem centenas de senhas em uma única requisição HTTP via system.multicall, contornando plugins de limite de tentativas.
Ocultação de Versão contra CVEs Públicos
A exibição da versão exata em tags generator e parâmetros de scripts permite que ferramentas de ataque automatizadas busquem vulnerabilidades conhecidas.
Diretivas Nginx e Regras de WAF Cloudflare
Bloqueie o acesso público ao XML-RPC, enumeração de usuários e arquivos readme de instalação:
location = /xmlrpc.php { deny all; return 403; }
location ~* ^/wp-json/wp/v2/users { deny all; return 403; }
location ~* /(readme\.html|license\.txt) { deny all; return 404; }