Escáner de Vulnerabilidades y Superficie de Ataque CMS
Audite su WordPress, Drupal o CMS headless contra enumeración de usuarios en REST API, XML-RPC activo y versiones expuestas.
Descripción general & importancia
Los Sistemas de Gestión de Contenidos (CMS) impulsan más del 70% de la web, siendo el objetivo principal de ciberataques automatizados.
Instalaciones desprotegidas con frecuencia exponen cuentas de usuarios mediante la REST API pública (/wp-json/wp/v2/users), permiten ataques de fuerza bruta mediante XML-RPC y difunden versiones exactas del software.
Vectores críticos mitigados con la protección de CMS
Bloqueo de Enumeración de Usuarios (REST API)
La REST API pública expone nombres de usuario de autores, proporcionando a los atacantes la mitad de las credenciales necesarias para ataques de fuerza bruta.
Mitigación de Ataques de Fuerza Bruta mediante XML-RPC
El archivo /xmlrpc.php permite a los atacantes probar cientos de contraseñas en una sola petición HTTP mediante system.multicall.
Ocultación de Versión contra Vulnerabilidades Públicas
Mostrar la versión exacta en etiquetas generator y cadenas de scripts permite a los atacantes dirigir exploits para CVEs conocidas.
Directivas Nginx y Reglas de WAF Cloudflare
Bloquee el acceso público a XML-RPC, enumeración de usuarios y archivos readme:
location = /xmlrpc.php { deny all; return 403; }
location ~* ^/wp-json/wp/v2/users { deny all; return 403; }
location ~* /(readme\.html|license\.txt) { deny all; return 404; }