Todas las comprobaciones que ejecutamos, separadas según lo que requieren. Las comprobaciones sin ser propietario se ejecutan en cada análisis, para cualquier sitio público. Las de propietario envían solicitudes de prueba, así que solo se ejecutan tras verificar tu dominio. Las de pago son las comprobaciones avanzadas que estamos desarrollando.
324 comprobaciones en 33 módulos
| GRAVEDAD | COMPROBACIÓN | MÓDULO | ID | Sin ser propietario(179) | Solo para el propietario del sitio(127) | De pago(18) |
|---|---|---|---|---|---|---|
| CRÍTICO | LLM API key trong bundle (sk-/sk-ant-) | AI / LLM | AI-007 | Sin ser propietarioPróximamente | · | · |
| CRÍTICO | Domain của NS chưa đăng ký (takeover) | DNS | DNS-011 | Sin ser propietarioPróximamente | · | · |
| CRÍTICO | El archivo de entorno (.env) es de lectura pública Cualquiera puede descargar estas variables, normalmente URL de bases de datos y claves de API. Los bots buscan | Archivos expuestos | EXP-001 | Sin ser propietario | · | · |
| CRÍTICO | El repositorio Git está expuesto
| Archivos expuestos | EXP-002 | Sin ser propietario | · | · |
| CRÍTICO | Backup archive is downloadable A site or database backup ( | Archivos expuestos | EXP-003 | Sin ser propietario | · | · |
| CRÍTICO | terraform.tfstate is exposed A Terraform state file is downloadable. State stores your infrastructure layout and often plaintext secrets (DB passwords, access keys). | Archivos expuestos | EXP-025 | Sin ser propietario | · | · |
| CRÍTICO | SQL database dump is exposed A full SQL dump is downloadable. It can contain your entire database — users, password hashes and private data. | Archivos expuestos | EXP-026 | Sin ser propietario | · | · |
| CRÍTICO | Private SSH key is exposed A private SSH key is downloadable. Anyone with it may be able to log in to your servers. | Archivos expuestos | EXP-031 | Sin ser propietario | · | · |
| CRÍTICO | SPF include trỏ domain chưa đăng ký | MAIL-010 | Sin ser propietarioPróximamente | · | · | |
| CRÍTICO | Google Web Risk (không Safe Browsing) | Reputation | REP-001 | Sin ser propietarioPróximamente | · | · |
| CRÍTICO | Chèn script/SEO spam/deface | Reputation | REP-003 | Sin ser propietarioPróximamente | · | · |
| CRÍTICO | Claves secretas expuestas en el código del cliente Se encontraron claves de API privadas en JavaScript que se envía a todos los visitantes. Cualquiera puede copiarlas y usar tus cuentas. | Secretos del lado del cliente | SEC-001 | Sin ser propietario | · | · |
| CRÍTICO | Clave service_role de Supabase expuesta La clave service_role omite por completo Row Level Security. Quien la tenga puede leer y modificar todas las tablas. | Secretos del lado del cliente | SEC-002 | Sin ser propietario | · | · |
| CRÍTICO | Private key EC/OpenSSH/DSA/PGP | Secret phía client | SEC-029 | Sin ser propietarioPróximamente | · | · |
| CRÍTICO | CVE trong CISA KEV | Tech / CVE / KEV / EOL | TECH-003 | Sin ser propietarioPróximamente | · | · |
| CRÍTICO | Next.js version → CVE-2025-29927/55182 | Tech / CVE / KEV / EOL | TECH-015 | Sin ser propietarioPróximamente | · | · |
| CRÍTICO | Certificado TLS caducado o próximo a caducar Cuando el certificado caduca, los navegadores muestran una advertencia de seguridad a pantalla completa y la mayoría de los visitantes se marchan. | Transporte & TLS | TLS-002 | Sin ser propietario | · | · |
| ALTO | WP plugin/theme CVE (Wordfence feed) | CMS | CMS-016 | Sin ser propietarioPróximamente | · | · |
| ALTO | Joomla config/version (CVE-2023-23752 KEV) | CMS | CMS-018 | Sin ser propietarioPróximamente | · | · |
| ALTO | Magento version + EOL + config | CMS | CMS-022 | Sin ser propietarioPróximamente | · | · |
| ALTO | CORS refleja cualquier origen Tu servidor devuelve cualquier Origin en Access-Control-Allow-Origin. Con credenciales permitidas, cualquier sitio web puede leer los datos de tus usuarios. | Cabeceras HTTP | COR-001 | Sin ser propietario | · | · |
| ALTO | Subdomain takeover (can-i-take-over-xyz) | DNS | DNS-006 | Sin ser propietarioPróximamente | · | · |
| ALTO | Domain sắp hết hạn (RDAP) | DNS | DNS-007 | Sin ser propietarioPróximamente | · | · |
| ALTO | Zone transfer AXFR mở | DNS | DNS-009 | Sin ser propietarioPróximamente | · | · |
| ALTO | DNSSEC hỏng/thuật toán yếu | DNS | DNS-015 | Sin ser propietarioPróximamente | · | · |
| ALTO | Subversion repository is exposed An | Archivos expuestos | EXP-010 | Sin ser propietario | · | · |
| ALTO | .hg/ repo lộ | File & path bị lộ | EXP-011 | Sin ser propietarioPróximamente | · | · |
| ALTO | docker-compose.yml is exposed Your | Archivos expuestos | EXP-013 | Sin ser propietario | · | · |
| ALTO | appsettings.json is exposed A .NET | Archivos expuestos | EXP-015 | Sin ser propietario | · | · |
| ALTO | .npmrc auth token is exposed An | Archivos expuestos | EXP-018 | Sin ser propietario | · | · |
| ALTO | .htpasswd is exposed An | Archivos expuestos | EXP-030 | Sin ser propietario | · | · |
| ALTO | .pypirc credential is exposed A | Archivos expuestos | EXP-032 | Sin ser propietario | · | · |
| ALTO | __NEXT_DATA__/RSC lộ dữ liệu server (PII, token) | JS & framework | JS-011 | Sin ser propietarioPróximamente | · | · |
| ALTO | Next/Vite/Nuxt phiên bản có CVE | JS & framework | JS-018 | Sin ser propietarioPróximamente | · | · |
| ALTO | DANE TLSA cho MX | MAIL-005 | Sin ser propietarioPróximamente | · | · | |
| ALTO | phpMyAdmin | Panel & dịch vụ bị lộ | PNL-001 | Sin ser propietarioPróximamente | · | · |
| ALTO | Adminer | Panel & dịch vụ bị lộ | PNL-002 | Sin ser propietarioPróximamente | · | · |
| ALTO | Spamhaus DBL/ZEN (cần DQS key) | Reputation | REP-002 | Sin ser propietarioPróximamente | · | · |
| ALTO | Script từ domain hết hạn | Reputation | REP-004 | Sin ser propietarioPróximamente | · | · |
| ALTO | URLhaus / ThreatFox | Reputation | REP-005 | Sin ser propietarioPróximamente | · | · |
| ALTO | OpenPhish feed | Reputation | REP-006 | Sin ser propietarioPróximamente | · | · |
| ALTO | NEXT_PUBLIC_/VITE_ var nhạy cảm | Secret phía client | SEC-005 | Sin ser propietarioPróximamente | · | · |
| ALTO | Mapbox secret token sk. | Secret phía client | SEC-014 | Sin ser propietarioPróximamente | · | · |
| ALTO | SendGrid API key | Secret phía client | SEC-016 | Sin ser propietarioPróximamente | · | · |
| ALTO | Twilio SID+key | Secret phía client | SEC-017 | Sin ser propietarioPróximamente | · | · |
| ALTO | Mailgun key | Secret phía client | SEC-018 | Sin ser propietarioPróximamente | · | · |
| ALTO | Shopify token (shpat_/shpca_…) | Secret phía client | SEC-019 | Sin ser propietarioPróximamente | · | · |
| ALTO | Google OAuth client secret GOCSPX- | Secret phía client | SEC-020 | Sin ser propietarioPróximamente | · | · |
| ALTO | Firebase FCM server key (legacy) | Secret phía client | SEC-021 | Sin ser propietarioPróximamente | · | · |
| ALTO | Doppler/Linear/Notion/Postman/npm/PyPI token | Secret phía client | SEC-023 | Sin ser propietarioPróximamente | · | · |
| ALTO | DigitalOcean/Cloudflare/HashiCorp token | Secret phía client | SEC-024 | Sin ser propietarioPróximamente | · | · |
| ALTO | Airtable PAT | Secret phía client | SEC-025 | Sin ser propietarioPróximamente | · | · |
| ALTO | Square/PayPal/Razorpay/Paystack key | Secret phía client | SEC-026 | Sin ser propietarioPróximamente | · | · |
| ALTO | Basic-auth creds trong URL | Secret phía client | SEC-032 | Sin ser propietarioPróximamente | · | · |
| ALTO | CDN bị chiếm (polyfill.io, bootcss…) | Supply chain | SUP-002 | Sin ser propietarioPróximamente | · | · |
| ALTO | Script trên bucket/host dangling | Supply chain | SUP-005 | Sin ser propietarioPróximamente | · | · |
| ALTO | JS library có CVE (retire.js) | Tech / CVE / KEV / EOL | TECH-011 | Sin ser propietarioPróximamente | · | · |
| ALTO | Vite dev server prod → CVE-2025-30208 | Tech / CVE / KEV / EOL | TECH-016 | Sin ser propietarioPróximamente | · | · |
| ALTO | HTTPS no está forzado El sitio no se sirve por HTTPS, o HTTP simple no redirige a HTTPS. El tráfico puede leerse o modificarse en redes Wi‑Fi públicas. | Transporte & TLS | TLS-001 | Sin ser propietario | · | · |
| ALTO | El certificado TLS no es de confianza Los navegadores rechazan el certificado (nombre de host incorrecto, autofirmado o cadena incompleta), por lo que los visitantes ven una advertencia de seguridad. | Transporte & TLS | TLS-003 | Sin ser propietario | · | · |
| ALTO | Cert bị thu hồi (CRL) | Transport & TLS | TLS-007 | Sin ser propietarioPróximamente | · | · |
| MEDIO | JWT thiếu exp / exp quá dài / thiếu aud | Auth / session / JWT | AUTH-003 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Session cookie flag (test login) | Auth / session / JWT | AUTH-006 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Cookies sin indicadores de seguridad Las cookies sin Secure, HttpOnly o SameSite pueden robarse por HTTP, ser leídas por scripts inyectados o enviarse en solicitudes entre sitios. | Cabeceras HTTP | CK-001 | Sin ser propietario | · | · |
| MEDIO | Cookie/JWT đọc được (alg:none, PII, role trong claim) | Cookie | CK-006 | Sin ser propietarioPróximamente | · | · |
| MEDIO | WP REST user enumeration | CMS | CMS-012 | Sin ser propietarioPróximamente | · | · |
| MEDIO | WP xmlrpc listMethods | CMS | CMS-013 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Drupal version + EOL + user enum | CMS | CMS-020 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Shopify fingerprint + app secret leak | CMS | CMS-025 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Falta el registro SPF Sin SPF, los servidores de correo receptores no pueden saber qué servidores pueden enviar correo en nombre de tu dominio, lo que facilita la suplantación. | DNS & correo | DNS-001 | Sin ser propietario | · | · |
| MEDIO | DMARC ausente o sin aplicar Sin una política DMARC que se aplique, los atacantes pueden enviar correos que parecen proceder de tu dominio. | DNS & correo | DNS-002 | Sin ser propietario | · | · |
| MEDIO | NS là open resolver | DNS | DNS-008 | Sin ser propietarioPróximamente | · | · |
| MEDIO | CA lạ cấp cert (crt.sh) | Domain / CT | DOM-002 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Subdomain nhạy cảm từ CT log (dev/staging/admin) | Domain / CT | DOM-003 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Directory listing | File & path bị lộ | EXP-006 | Sin ser propietarioPróximamente | · | · |
| MEDIO | web.config is exposed An ASP.NET | Archivos expuestos | EXP-014 | Sin ser propietario | · | · |
| MEDIO | Content-Security-Policy ausente o débil Sin una CSP sólida, cualquier script inyectado se ejecuta con acceso total a tu página y a las sesiones de tus usuarios. | Cabeceras HTTP | HDR-001 | Sin ser propietario | · | · |
| MEDIO | Falta protección contra clickjacking Otros sitios pueden cargar tus páginas en un marco oculto y engañar a los usuarios para que hagan clic en botones. | Cabeceras HTTP | HDR-002 | Sin ser propietario | · | · |
| MEDIO | CSP yếu (unsafe-eval, *, data: trong script-src) — logic CSP Evaluator | HTTP header | HDR-005 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Response cache được mà có Set-Cookie | Hành vi HTTP | HTTP-010 | Sin ser propietarioPróximamente | · | · |
| MEDIO | postMessage không kiểm Origin (static) | Injection / XSS / SSRF | INJ-010 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Nuxt __NUXT__ state leak | JS & framework | JS-012 | Sin ser propietarioPróximamente | · | · |
| MEDIO | SvelteKit/Remix loader data leak | JS & framework | JS-013 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Next Server Action ID disclosure | JS & framework | JS-016 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Route admin/debug hardcode trong router | JS & framework | JS-021 | Sin ser propietarioPróximamente | · | · |
| MEDIO | SPF quá rộng/invalid (+all, >10 lookup, ptr) | MAIL-001 | Sin ser propietarioPróximamente | · | · | |
| MEDIO | MX thiếu STARTTLS / cert xấu (cần egress :25) | MAIL-003 | Sin ser propietarioPróximamente | · | · | |
| MEDIO | MX dangling/misconfig | MAIL-007 | Sin ser propietarioPróximamente | · | · | |
| MEDIO | Domain không gửi mail thiếu -all + p=reject | MAIL-008 | Sin ser propietarioPróximamente | · | · | |
| MEDIO | DKIM key yếu (RSA ≤1024) / test mode | MAIL-011 | Sin ser propietarioPróximamente | · | · | |
| MEDIO | Tracker/cookie trước khi consent (EU) | Privacy | PRV-003 | Sin ser propietarioPróximamente | · | · |
| MEDIO | IP hosting có port/CVE lộ (Shodan InternetDB) | Reputation | REP-007 | Sin ser propietarioPróximamente | · | · |
| MEDIO | UA cloaking (SEO spam) | Reputation | REP-008 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Google API key AIza… | Secret phía client | SEC-010 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Algolia app+API key | Secret phía client | SEC-012 | Sin ser propietarioPróximamente | · | · |
| MEDIO | HuggingFace token hf_ | Secret phía client | SEC-022 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Slack webhook URL | Secret phía client | SEC-027 | Sin ser propietarioPróximamente | · | · |
| MEDIO | JS library có CVE (retire.js) — gộp với TECH-011 | Supply chain | SUP-003 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Script không pin version (@latest, raw github) | Supply chain | SUP-004 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Form login/payment post sang host lạ/HTTP | Supply chain | SUP-008 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Version có CVE (OSV/NVD/GHSA) | Tech / CVE / KEV / EOL | TECH-002 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Phần mềm EOL (endoflife.date) | Tech / CVE / KEV / EOL | TECH-004 | Sin ser propietarioPróximamente | · | · |
| MEDIO | WordPress core/plugin/theme CVE | Tech / CVE / KEV / EOL | TECH-005 | Sin ser propietarioPróximamente | · | · |
| MEDIO | TLS 1.0/1.1, cipher yếu | Transport & TLS | TLS-004 | Sin ser propietarioPróximamente | · | · |
| MEDIO | HSTS ausente o demasiado corto Sin Strict-Transport-Security, un atacante en la misma red puede forzar una visita a HTTP. | Transporte & TLS | TLS-005 | Sin ser propietario | · | · |
| MEDIO | Khoá/chữ ký yếu (RSA<2048, SHA-1) | Transport & TLS | TLS-008 | Sin ser propietarioPróximamente | · | · |
| MEDIO | DH params yếu (Logjam) | Transport & TLS | TLS-009 | Sin ser propietarioPróximamente | · | · |
| MEDIO | Chain thiếu intermediate (browser giấu, API vỡ) | Transport & TLS | TLS-012 | Sin ser propietarioPróximamente | · | · |
| BAJO | API thiếu security header | API | API-008 | Sin ser propietarioPróximamente | · | · |
| BAJO | Thiếu header rate-limit | API | API-016 | Sin ser propietarioPróximamente | · | · |
| BAJO | Vi phạm prefix (__Secure- không Secure, SameSite=None không Secure) | Cookie | CK-003 | Sin ser propietarioPróximamente | · | · |
| BAJO | Cookie Domain quá rộng (.example.com) | Cookie | CK-004 | Sin ser propietarioPróximamente | · | · |
| BAJO | Session cookie sống quá lâu (>30 ngày) | Cookie | CK-005 | Sin ser propietarioPróximamente | · | · |
| BAJO | S3 bucket tồn tại (AccessDenied) | Cloud storage | CLD-002 | Sin ser propietarioPróximamente | · | · |
| BAJO | Dấu hiệu SSRF metadata (169.254.169.254) | Cloud storage | CLD-010 | Sin ser propietarioPróximamente | · | · |
| BAJO | WP wp-cron / uploads listing | CMS | CMS-014 | Sin ser propietarioPróximamente | · | · |
| BAJO | Ghost admin + version | CMS | CMS-024 | Sin ser propietarioPróximamente | · | · |
| BAJO | WP readme.html core version | CMS | CMS-027 | Sin ser propietarioPróximamente | · | · |
| BAJO | ACAO * trên API JSON /api/* | CORS | COR-004 | Sin ser propietarioPróximamente | · | · |
| BAJO | DKIM selector phổ biến | DNS | DNS-003 | Sin ser propietarioPróximamente | · | · |
| BAJO | Sin registro CAA Cualquier autoridad de certificación puede emitir certificados para tu dominio. CAA limita la emisión a las CA que realmente usas. | DNS & correo | DNS-004 | Sin ser propietario | · | · |
| BAJO | NS kém bền (số lượng, cùng /24, lame) | DNS | DNS-010 | Sin ser propietarioPróximamente | · | · |
| BAJO | IP nội bộ trong DNS công khai | DNS | DNS-016 | Sin ser propietarioPróximamente | · | · |
| BAJO | Thiếu registrar transfer lock (RDAP) | Domain / CT | DOM-001 | Sin ser propietarioPróximamente | · | · |
| BAJO | .DS_Store file is exposed A macOS | Archivos expuestos | EXP-004 | Sin ser propietario | · | · |
| BAJO | firebase.json / .firebaserc lộ | File & path bị lộ | EXP-019 | Sin ser propietarioPróximamente | · | · |
| BAJO | vercel.json / netlify.toml lộ | File & path bị lộ | EXP-020 | Sin ser propietarioPróximamente | · | · |
| BAJO | Faltan cabeceras de seguridad básicas X-Content-Type-Options y Referrer-Policy son valores por defecto baratos que bloquean el MIME sniffing e impiden que se filtren URL completas a otros sitios. | Cabeceras HTTP | HDR-003 | Sin ser propietario | · | · |
| BAJO | Se revela la versión del servidor o del framework Los banners de versión ayudan a los atacantes a relacionar tu stack con vulnerabilidades conocidas. | Cabeceras HTTP | HDR-004 | Sin ser propietario | · | · |
| BAJO | Header lỗi thời/nguy hiểm (HPKP, X-XSS-Protection≠0) | HTTP header | HDR-009 | Sin ser propietarioPróximamente | · | · |
| BAJO | Referrer-Policy yếu (unsafe-url) | HTTP header | HDR-010 | Sin ser propietarioPróximamente | · | · |
| BAJO | Header trùng/xung đột/sai cú pháp | HTTP header | HDR-011 | Sin ser propietarioPróximamente | · | · |
| BAJO | Header lộ stack (X-AspNet-Version, X-Runtime, IP nội bộ) | HTTP header | HDR-012 | Sin ser propietarioPróximamente | · | · |
| BAJO | Trang auth thiếu Cache-Control: no-store | HTTP header | HDR-013 | Sin ser propietarioPróximamente | · | · |
| BAJO | Header không nhất quán giữa các path | HTTP header | HDR-014 | Sin ser propietarioPróximamente | · | · |
| BAJO | sitemap lộ URL/host không công khai | Hành vi HTTP | HTTP-007 | Sin ser propietarioPróximamente | · | · |
| BAJO | Trang mặc định/placeholder (nginx welcome, parking) | Hành vi HTTP | HTTP-012 | Sin ser propietarioPróximamente | · | · |
| BAJO | localhost/IP nội bộ/preview URL trong bundle | JS & framework | JS-020 | Sin ser propietarioPróximamente | · | · |
| BAJO | Comment lộ TODO/credential/host nội bộ | JS & framework | JS-022 | Sin ser propietarioPróximamente | · | · |
| BAJO | _buildManifest.js lộ route ẩn | JS & framework | JS-027 | Sin ser propietarioPróximamente | · | · |
| BAJO | DMARC yếu (pct<100, sp=none, no rua) | MAIL-002 | Sin ser propietarioPróximamente | · | · | |
| BAJO | MTA-STS / TLS-RPT thiếu/hỏng | MAIL-004 | Sin ser propietarioPróximamente | · | · | |
| BAJO | Không có link privacy policy | Privacy | PRV-004 | Sin ser propietarioPróximamente | · | · |
| BAJO | Session replay trên trang form (Hotjar/Clarity) | Privacy | PRV-006 | Sin ser propietarioPróximamente | · | · |
| BAJO | Source maps accesibles públicamente Tu código fuente original puede reconstruirse a partir de los archivos | Secretos del lado del cliente | SEC-004 | Sin ser propietario | · | · |
| BAJO | URL nội bộ/staging trong JS | Secret phía client | SEC-006 | Sin ser propietarioPróximamente | · | · |
| BAJO | Sentry DSN | Secret phía client | SEC-015 | Sin ser propietarioPróximamente | · | · |
| BAJO | Chuỗi entropy cao gần keyword credential | Secret phía client | SEC-030 | Sin ser propietarioPróximamente | · | · |
| BAJO | Script/CSS bên thứ ba không SRI | Supply chain | SUP-001 | Sin ser propietarioPróximamente | · | · |
| BAJO | SRI yếu (sha1/md5) / thiếu crossorigin | Supply chain | SUP-006 | Sin ser propietarioPróximamente | · | · |
| BAJO | Link social/GitHub có thể hijack | Supply chain | SUP-007 | Sin ser propietarioPróximamente | · | · |
| BAJO | Header version mở rộng (X-Runtime, X-Drupal-Cache) | Tech / CVE / KEV / EOL | TECH-013 | Sin ser propietarioPróximamente | · | · |
| BAJO | <meta generator> lộ version | Tech / CVE / KEV / EOL | TECH-014 | Sin ser propietarioPróximamente | · | · |
| BAJO | Mixed content | Transport & TLS | TLS-006 | Sin ser propietarioPróximamente | · | · |
| BAJO | Không forward secrecy / không AEAD (TLS1.2) | Transport & TLS | TLS-011 | Sin ser propietarioPróximamente | · | · |
| BAJO | Thiếu SCT (CT policy) | Transport & TLS | TLS-013 | Sin ser propietarioPróximamente | · | · |
| BAJO | Redirect sang host khác trước khi set HSTS | Transport & TLS | TLS-015 | Sin ser propietarioPróximamente | · | · |
| BAJO | Liệt kê table qua PostgREST OpenAPI | BaaS (Supabase/Firebase) | BAAS-001 | Sin ser propietarioPróximamente | · | · |
| BAJO | Supabase project + anon key (nền) | BaaS (Supabase/Firebase) | BAAS-010 | Sin ser propietarioPróximamente | · | · |
| BAJO | Firebase config extract (nền) | BaaS (Supabase/Firebase) | BAAS-021 | Sin ser propietarioPróximamente | · | · |
| BAJO | Session cookie thiếu prefix __Host- | Cookie | CK-002 | Sin ser propietarioPróximamente | · | · |
| BAJO | DNSSEC | DNS | DNS-005 | Sin ser propietarioPróximamente | · | · |
| BAJO | Wildcard DNS | DNS | DNS-014 | Sin ser propietarioPróximamente | · | · |
| BAJO | CSP chỉ report-only hoặc chỉ trong meta tag | HTTP header | HDR-006 | Sin ser propietarioPróximamente | · | · |
| BAJO | COOP thiếu | HTTP header | HDR-007 | Sin ser propietarioPróximamente | · | · |
| BAJO | CORP/COEP không set | HTTP header | HDR-008 | Sin ser propietarioPróximamente | · | · |
| BAJO | robots.txt lộ path nhạy cảm | Hành vi HTTP | HTTP-006 | Sin ser propietarioPróximamente | · | · |
| BAJO | Không hỗ trợ HTTP/2; HTTP/3 info | Hành vi HTTP | HTTP-008 | Sin ser propietarioPróximamente | · | · |
| BAJO | Dấu hiệu request smuggling (passive) | Hành vi HTTP | HTTP-009 | Sin ser propietarioPróximamente | · | · |
| BAJO | Liệt kê bundle + trích endpoint (jsluice) — nền cho nhiều check | JS & framework | JS-010 | Sin ser propietarioPróximamente | · | · |
| BAJO | Fingerprint framework + version | JS & framework | JS-017 | Sin ser propietarioPróximamente | · | · |
| BAJO | BIMI record (info) | MAIL-006 | Sin ser propietarioPróximamente | · | · | |
| BAJO | security.txt thiếu | Privacy | PRV-001 | Sin ser propietarioPróximamente | · | · |
| BAJO | security.txt invalid | Privacy | PRV-002 | Sin ser propietarioPróximamente | · | · |
| BAJO | Google Fonts/3rd-party nhạy cảm EU | Privacy | PRV-005 | Sin ser propietarioPróximamente | · | · |
| BAJO | Nhận diện công nghệ + version (webappanalyzer) | Tech / CVE / KEV / EOL | TECH-001 | Sin ser propietarioPróximamente | · | · |
| BAJO | EPSS enrichment (xếp hạng ưu tiên) | Tech / CVE / KEV / EOL | TECH-018 | Sin ser propietarioPróximamente | · | · |
| BAJO | Không hỗ trợ TLS 1.3 | Transport & TLS | TLS-010 | Sin ser propietarioPróximamente | · | · |
| BAJO | HSTS thiếu includeSubDomains/preload | Transport & TLS | TLS-014 | Sin ser propietarioPróximamente | · | · |
| CRÍTICO | Next.js middleware bypass (gộp JS-014) | Access control / IDOR | AC-003 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | LLM proxy endpoint không auth (abuse) | AI / LLM | AI-002 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Key provider lộ qua error | AI / LLM | AI-006 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | MCP server lộ (tools/list, không gọi tool) | AI / LLM | AI-009 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | ChromaDB lộ (metadata) | AI / LLM | AI-012 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Stripe sk_live lộ / webhook không verify sig | API | API-015 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Tablas de Supabase legibles sin iniciar sesión Con la clave anon pública de tu sitio pudimos leer filas de estas tablas. Row Level Security está desactivado o una política permite lecturas públicas. | Backend (Supabase / Firebase) | BAAS-002 | · | Solo para el propietario del sitio | · |
| CRÍTICO | Firebase Realtime Database es de lectura pública Las reglas de tu base de datos permiten lecturas sin autenticación, por lo que cualquiera puede descargar los datos. | Backend (Supabase / Firebase) | BAAS-004 | · | Solo para el propietario del sitio | · |
| CRÍTICO | Supabase table ghi được bằng anon (CVE-2025-48757) | BaaS (Supabase/Firebase) | BAAS-011 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | auth.users lộ qua view/API | BaaS (Supabase/Firebase) | BAAS-012 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | RLS tắt hàng loạt (splinter 0013) | BaaS (Supabase/Firebase) | BAAS-013 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Firestore đọc không auth | BaaS (Supabase/Firebase) | BAAS-022 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Hasura query anon (role permissive) | BaaS (Supabase/Firebase) | BAAS-032 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Firebase RTDB world-readable (GET only) | Cloud storage | CLD-008 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | WP DB backup / repair.php | CMS | CMS-011 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | WP wp-config backup / setup reachable | CMS | CMS-015 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Backup config CMS (wp-config.php~, .bak) | File & path bị lộ | EXP-027 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Hasura/PostGraphile admin mở | GraphQL | GQL-006 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Next.js middleware bypass CVE-2025-29927 (header) | JS & framework | JS-014 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | RSC RCE CVE-2025-55182 (probe không thực thi) | JS & framework | JS-015 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Actuator /heapdump tải được | Panel & dịch vụ bị lộ | PNL-005 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Elasticsearch không auth | Panel & dịch vụ bị lộ | PNL-009 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Docker Engine API lộ | Panel & dịch vụ bị lộ | PNL-010 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Kubelet/K8s API read-only | Panel & dịch vụ bị lộ | PNL-012 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Supabase Studio lộ | Panel & dịch vụ bị lộ | PNL-021 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Jupyter Notebook không auth | Panel & dịch vụ bị lộ | PNL-025 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | Flask/Werkzeug debugger | Panel & dịch vụ bị lộ | PNL-030 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | AI route thiếu rate limit | AI / LLM | AI-003 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | System prompt leakage | AI / LLM | AI-004 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Client override model/max_tokens | AI / LLM | AI-008 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Ollama lộ (/api/tags) | AI / LLM | AI-010 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | LM Studio/Open WebUI/vLLM lộ | AI / LLM | AI-011 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Qdrant lộ | AI / LLM | AI-013 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Weaviate lộ | AI / LLM | AI-014 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Output LLM render thành HTML (XSS) | AI / LLM | AI-017 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Mass assignment / field thừa (role, password_hash) | API | API-005 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | CORS reflect + credentials (API) | API | API-006 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Endpoint secured trả data khi không auth | API | API-007 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Actuator/metrics/debug lộ (gộp PNL-004/06) | API | API-011 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | OAuth redirect_uri validation yếu | Auth / session / JWT | AUTH-009 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Credential mặc định trên panel (1 lần/panel) | Auth / session / JWT | AUTH-010 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Los buckets de almacenamiento de Supabase se pueden listar Cualquiera con tu clave pública puede listar los archivos de estos buckets, lo que suele exponer las subidas de los usuarios. | Backend (Supabase / Firebase) | BAAS-003 | · | Solo para el propietario del sitio | · |
| ALTO | El bucket de Firebase Storage se puede listar públicamente Las reglas de tu Storage permiten listar archivos sin autenticación. | Backend (Supabase / Firebase) | BAAS-005 | · | Solo para el propietario del sitio | · |
| ALTO | Security-definer view bypass RLS | BaaS (Supabase/Firebase) | BAAS-014 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | RPC function anon gọi được | BaaS (Supabase/Firebase) | BAAS-015 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Appwrite collection public | BaaS (Supabase/Firebase) | BAAS-027 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | PocketBase collection public list | BaaS (Supabase/Firebase) | BAAS-028 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Hasura introspection bật | BaaS (Supabase/Firebase) | BAAS-031 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Directus collection public | BaaS (Supabase/Firebase) | BAAS-033 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Strapi public API over-exposed | BaaS (Supabase/Firebase) | BAAS-034 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | S3 bucket public listing | Cloud storage | CLD-001 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | GCS bucket public listing | Cloud storage | CLD-003 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Azure Blob container public | Cloud storage | CLD-004 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | DigitalOcean Spaces public | Cloud storage | CLD-005 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Firebase Storage/Firestore open (GET only) | Cloud storage | CLD-009 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Subdomain takeover (dangling CNAME) | Cloud storage | CLD-011 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | WP debug.log lộ | CMS | CMS-010 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Drupal install.php reachable | CMS | CMS-021 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Installer CMS còn mở (wp/joomla/drupal) | CMS | CMS-026 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Origin: null được tin + credentials | CORS | COR-002 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Validate Origin theo prefix/suffix (bypass) | CORS | COR-003 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Trang debug (Django/Laravel/Next) | File & path bị lộ | EXP-007 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Core dump lộ | File & path bị lộ | EXP-033 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Không giới hạn depth/complexity | GraphQL | GQL-005 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Mutation reachable không auth (báo hiện diện) | GraphQL | GQL-007 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Reflected XSS (canary, không thực thi) | Injection / XSS / SSRF | INJ-001 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | SQLi indicator (error-based, 1 dấu nháy) | Injection / XSS / SSRF | INJ-004 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | NoSQL injection indicator ($ne) | Injection / XSS / SSRF | INJ-005 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Path traversal indicator (1 probe) | Injection / XSS / SSRF | INJ-007 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | SSTI indicator ({{7*7}}→49) | Injection / XSS / SSRF | INJ-008 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Open relay (cần egress :25) | MAIL-009 | · | Solo para el propietario del sitioPróximamente | · | |
| ALTO | Spring Boot Actuator (/env, /mappings) | Panel & dịch vụ bị lộ | PNL-004 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Kubernetes Dashboard | Panel & dịch vụ bị lộ | PNL-011 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Jenkins | Panel & dịch vụ bị lộ | PNL-013 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | MinIO console | Panel & dịch vụ bị lộ | PNL-017 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Redis Commander | Panel & dịch vụ bị lộ | PNL-018 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Apache Solr admin | Panel & dịch vụ bị lộ | PNL-019 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Apache Airflow | Panel & dịch vụ bị lộ | PNL-020 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Laravel Telescope | Panel & dịch vụ bị lộ | PNL-027 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Google Maps key không giới hạn | Secret phía client | SEC-011 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Algolia key có ACL ghi/admin | Secret phía client | SEC-013 | · | Solo para el propietario del sitioPróximamente | · |
| ALTO | Heartbleed/ROBOT/insecure renegotiation | Transport & TLS | TLS-017 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | ID tuần tự/đoán được (dấu hiệu IDOR) | Access control / IDOR | AC-008 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Rate limit login/AI endpoint | Quét chủ động | ACT-005 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | API version cũ/không tài liệu reachable | API | API-002 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Lỗi verbose (stack/DB driver) | API | API-003 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Method tampering / unsafe methods | API | API-004 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Lạm dụng pagination/limit | API | API-009 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Enumeration qua login/reset | Auth / session / JWT | AUTH-004 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | pg_graphql introspection mở cho anon | BaaS (Supabase/Firebase) | BAAS-016 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Realtime anon subscribe được | BaaS (Supabase/Firebase) | BAAS-017 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Edge Function không auth | BaaS (Supabase/Firebase) | BAAS-018 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Supabase signup mở (spraying) | BaaS (Supabase/Firebase) | BAAS-020 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Firebase anonymous auth bật | BaaS (Supabase/Firebase) | BAAS-024 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Firebase Remote Config đọc được | BaaS (Supabase/Firebase) | BAAS-026 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Convex function public | BaaS (Supabase/Firebase) | BAAS-030 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Cloudflare R2 public bucket | Cloud storage | CLD-006 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Swagger/OpenAPI, GraphQL introspection | File & path bị lộ | EXP-005 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Sourcemap .map lộ (full source) | File & path bị lộ | EXP-023 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Introspection bật ở prod | GraphQL | GQL-002 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Field suggestion ("did you mean") | GraphQL | GQL-003 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Batching/aliasing cho phép | GraphQL | GQL-004 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | GraphQL CSRF (GET/form mutation) | GraphQL | GQL-009 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Method nguy hiểm (PUT/DELETE/PROPFIND) | Hành vi HTTP | HTTP-002 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Host header injection | Hành vi HTTP | HTTP-003 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Open redirect qua ?next/url/redirect/returnTo | Hành vi HTTP | HTTP-004 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Lỗi/stack trace lộ (malformed request) | Hành vi HTTP | HTTP-005 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Web cache deception | Hành vi HTTP | HTTP-011 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Open redirect (canary host) | Injection / XSS / SSRF | INJ-002 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Header/host injection | Injection / XSS / SSRF | INJ-006 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Vite dev server shipped to prod (/@vite/client, /@fs/) | JS & framework | JS-025 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Prometheus /metrics | Panel & dịch vụ bị lộ | PNL-006 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Grafana (anon/default) | Panel & dịch vụ bị lộ | PNL-007 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Kibana | Panel & dịch vụ bị lộ | PNL-008 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Portainer | Panel & dịch vụ bị lộ | PNL-014 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Traefik dashboard/API | Panel & dịch vụ bị lộ | PNL-015 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | RabbitMQ management | Panel & dịch vụ bị lộ | PNL-016 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Go pprof/expvar | Panel & dịch vụ bị lộ | PNL-031 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Xác minh key còn sống (whoami an toàn) | Secret phía client | SEC-007 | · | Solo para el propietario del sitioPróximamente | · |
| MEDIO | Dep từ package.json/composer.json → OSV | Tech / CVE / KEV / EOL | TECH-019 | · | Solo para el propietario del sitioPróximamente | · |
| BAJO | Joomla admin + registration mở | CMS | CMS-019 | · | Solo para el propietario del sitioPróximamente | · |
| BAJO | Preflight quá dễ dãi (ACAM PUT/DELETE) | CORS | COR-005 | · | Solo para el propietario del sitioPróximamente | · |
| BAJO | next/nuxt/vite config lộ | File & path bị lộ | EXP-022 | · | Solo para el propietario del sitioPróximamente | · |
| BAJO | TRACE/TRACK bật | Hành vi HTTP | HTTP-001 | · | Solo para el propietario del sitioPróximamente | · |
| BAJO | Phát hiện OpenAPI/Swagger + inventory | API | API-001 | · | Solo para el propietario del sitioPróximamente | · |
| BAJO | Phát hiện endpoint GraphQL | GraphQL | GQL-001 | · | Solo para el propietario del sitioPróximamente | · |
| BAJO | Thiếu Clear-Site-Data khi logout | HTTP header | HDR-015 | · | Solo para el propietario del sitioPróximamente | · |
| CRÍTICO | BOLA/IDOR (2 tài khoản test) | Access control / IDOR | AC-001 | · | · | De pagoPróximamente |
| CRÍTICO | Role escalation qua mass assignment (no-op) | Access control / IDOR | AC-009 | · | · | De pagoPróximamente |
| CRÍTICO | JWT alg:none / alg-confusion (token của chủ site) | Auth / session / JWT | AUTH-001 | · | · | De pagoPróximamente |
| CRÍTICO | SSRF qua url/webhook param (OOB) | Injection / XSS / SSRF | INJ-003 | · | · | De pagoPróximamente |
| ALTO | Broken function-level auth (user → admin route) | Access control / IDOR | AC-002 | · | · | De pagoPróximamente |
| ALTO | Quét có đăng nhập + IDOR | Quét chủ động | ACT-004 | · | · | De pagoPróximamente |
| ALTO | Excessive agency (read-only probe) | AI / LLM | AI-016 | · | · | De pagoPróximamente |
| ALTO | JWT HS256 secret yếu (offline) | Auth / session / JWT | AUTH-002 | · | · | De pagoPróximamente |
| ALTO | Reset token yếu (dự đoán/trong response) | Auth / session / JWT | AUTH-005 | · | · | De pagoPróximamente |
| ALTO | Flow nhạy cảm thiếu anti-automation | Business logic | BIZ-001 | · | · | De pagoPróximamente |
| ALTO | Coupon/price/quantity tampering (no-op) | Business logic | BIZ-002 | · | · | De pagoPróximamente |
| ALTO | Bypass plan/feature-gate | Business logic | BIZ-003 | · | · | De pagoPróximamente |
| ALTO | Race condition redeem (2 request) | Business logic | BIZ-004 | · | · | De pagoPróximamente |
| ALTO | AI agent dò logic nghiệp vụ | Business logic | BIZ-006 | · | · | De pagoPróximamente |
| ALTO | A record trỏ IP cloud có thể mất quyền | Domain / CT | DOM-005 | · | · | De pagoPróximamente |
| MEDIO | Session không huỷ khi logout | Auth / session / JWT | AUTH-007 | · | · | De pagoPróximamente |
| MEDIO | Domain lookalike/typosquat (dnstwist) | Domain / CT | DOM-004 | · | · | De pagoPróximamente |
| MEDIO | Origin truy cập trực tiếp, bypass CDN/WAF | Hành vi HTTP | HTTP-013 | · | · | De pagoPróximamente |