# Explotación Completa - Refaccionarias del Valle
**Objetivo:** https://refaccionariasdelvalle.com (WordPress) + https://refaccionariasdelvalle.herokuapp.com (Rails)
**Fecha:** 2026-03-25
**Auditor:** Consultoría AS
**Estado:** Autorizado por el dueño

---

## Resumen Ejecutivo
Se realizó un análisis de seguridad exhaustivo en ambas plataformas (WordPress y Heroku/Rails). Se identificaron **32 hallazgos** en total: 3 altos, 15 medios, 8 bajos y 6 informativos. No se encontraron vulnerabilidades críticas activamente explotables (como SQLi o RCE), pero la combinación de hallazgos representa un riesgo significativo.

---

## SITIO WORDPRESS (refaccionariasdelvalle.com)

### Infraestructura Confirmada
- **IP:** 44.229.95.150 (AWS Oregon)
- **Hosting:** GreenGeeks → AWS
- **CMS:** WordPress 6.7.5 (2 versiones atrás de 6.9.x)
- **Theme:** Woodmart 7.6.0 (premium)
- **E-commerce:** WooCommerce 9.8.7 (MXN)
- **Cache:** W3 Total Cache 2.8.0
- **Servidor:** Apache

### Plugins Confirmados (11)
| Plugin | Versión | Estado |
|--------|---------|--------|
| WooCommerce | 9.8.7 | readme.txt público |
| Contact Form 7 | 6.0.6 | readme.txt público |
| Forminator | 1.42.2 | readme.txt público, API REST expuesta |
| Google Site Kit | 1.151.0 | readme.txt público |
| Click to Chat WhatsApp | 4.15 | readme.txt público |
| Real3D FlipBook Lite | 4.8.5 | readme.txt público |
| Yoast SEO | 24.9 | readme.txt público |
| WPForms Lite | 1.9.5 | readme.txt público |
| Jetpack | 13.9.1 | readme.txt público |
| All-in-One WP Migration | 7.93 | readme.txt público, directorio de backups accesible |
| W3 Total Cache | 2.8.0 | readme.txt público |

### Hallazgos WordPress

#### A1 — Enumeración de usuarios CONFIRMADA (ALTA)
- **Evidencia:** WP revela si un usuario existe o no con mensajes de error diferentes
- Usuario válido (`adminRDelValle`): "la contraseña que has introducido para el nombre de usuario **adminRDelValle** no es correcta"
- Usuario inválido: "El nombre de usuario **nonexistentuser123** no está registrado en este sitio"
- **Vector:** Permite confirmar usuarios válidos para ataques de fuerza bruta
- **Usuario confirmado:** `adminRDelValle` (ID:1, super_admin, Gravatar: 41c8ce28f93662502ca9b9aec99fe2c8)
- También expuesto via: REST API (`/wp-json/wp/v2/users`), author pages (`/?author=1`), oembed

#### A2 — Login sin rate limiting (ALTA)
- **Evidencia:** 5 intentos de login consecutivos en <2 segundos sin bloqueo ni CAPTCHA
- Con usuario confirmado (`adminRDelValle`), un ataque de fuerza bruta es viable
- XMLRPC está bloqueado (403), pero wp-login.php no tiene protección

#### A3 — Riesgo de cadena de suministro - Logo externo (ALTA)
- **Evidencia:** El logo oficial del sitio se sirve desde `diseno-studioarsa.com`
- Este dominio tiene **directory listing habilitado** en `/sitios-de-prueba/` exponiendo carpetas de otros clientes:
  - close-now/
  - eduardo-dominguez/
  - hold-it-media/
  - soluciones-emp-integrales/
  - the-moreno-co/
- El archivo del logo específico retorna 404 actualmente (puede haberse movido)
- **Impacto:** Si el dominio del diseñador se compromete, podrían inyectar JavaScript malicioso en el sitio de Refaccionarias del Valle via el tag del logo
- **Schema.org** del sitio confirma: `"url":"https://diseno-studioarsa.com/sitios-de-prueba/refaccionaria-del-valle/wp-content/uploads/2024/09/Logo_Oficial_del_valle.png"`

#### M1 — Directorio de backups accesible (MEDIA)
- **URL:** `/wp-content/ai1wm-backups/`
- **Respuesta:** 200 OK con contenido "Kangaroos cannot jump here" (26 bytes)
- Parece ser un honeypot o archivo index.html personalizado
- All-in-One WP Migration (v7.93) está instalado
- No se encontraron archivos .wpress descargables
- **Riesgo residual:** El directorio existe y acepta requests — si se genera un backup sin protección podría ser accesible

#### M2 — Herramienta de reparación de BD accesible (MEDIA)
- **URL:** `/wp-admin/maint/repair.php`
- **Respuesta:** 200 OK — muestra instrucciones para habilitar reparación automática
- Actualmente requiere `WP_ALLOW_REPAIR` en wp-config.php
- **Riesgo:** Si alguien tiene acceso a wp-config.php, puede activar la reparación de BD

#### M3 — WooCommerce sin HSTS (MEDIA)
- Tienda con pagos en MXN sin Strict-Transport-Security
- Datos de tarjeta vulnerables a downgrade HTTPS→HTTP (MitM)

#### M4 — DMARC p=none (MEDIA)
- `v=DMARC1; p=none;` — sin enforcement de correo
- SPF con ~all (softfail) en lugar de -all
- Cualquiera puede enviar emails como @refaccionariasdelvalle.com

#### M5 — 7/7 headers de seguridad ausentes (MEDIA)
- Sin HSTS, CSP, X-Frame-Options, X-Content-Type-Options, X-XSS-Protection, Referrer-Policy, Permissions-Policy

#### M6 — WordPress desactualizado (MEDIA)
- Versión 6.7.5, la actual es 6.9.x (2 versiones menores atrás)
- readme.html accesible confirma versión

#### M7 — WooCommerce Store API expone estructura (MEDIA)
- Atributo "Marca" con 66 valores
- Carrito accesible sin autenticación (moneda MXN confirmada)
- Estructura de checkout visible

#### M8 — Forminator API REST expuesta (MEDIA)
- Endpoint `/wp-json/forminator/v1/preview/forms` acepta requests
- Retorna error por falta de `module_id` — podría explotarse con IDs válidos

#### M9 — Application Passwords habilitado (MEDIA)
- `/wp-admin/authorize-application.php` accesible
- Podría usarse para crear tokens de API si se obtienen credenciales

#### M10 — 22 namespaces REST API expuestos (MEDIA)
- Incluyendo: wc-admin, hub-connector, forminator, wpmudev_pcs, etc.
- wc-admin expone rutas de marketing, features, experiments

#### B1 — WP-Cron accesible (BAJA)
- `/wp-cron.php` responde sin error
- Podría usarse para DoS (WordPress cron abuse)

#### B2 — setup-config.php accesible (BAJA)
- Retorna 409 (Already Installed) pero confirma WordPress

#### B3 — Plugins con readme.txt público (BAJA)
- 11 plugins con versiones exactas expuestas via readme.txt
- Facilita identificación de vulnerabilidades conocidas

#### I1 — XMLRPC bloqueado (OK)
#### I2 — wp-content/uploads bloqueado (OK)

---

## APLICACIÓN HEROKU (refaccionariasdelvalle.herokuapp.com)

### Infraestructura Confirmada
- **Plataforma:** Ruby on Rails (Heroku)
- **CDN:** CloudFront (d134yvfg5nzhu8.cloudfront.net)
- **S3:** refaccionariasdelvallepg.s3.us-west-1.amazonaws.com (acceso denegado, bien)
- **jQuery:** 1.12.4 (2016, múltiples CVEs de XSS)
- **Analytics:** Google Analytics UA-40376975-1 (Universal, deprecado)
- **reCaptcha:** Cargado en la página

### Rutas Descubiertas
| Ruta | Código | Acceso |
|------|--------|--------|
| /productos | 200 | **PÚBLICO** |
| /cuentas/ingresar | 200 | Login de Devise |
| /users/sign_in | 500 | **ERROR INTERNO** |
| /admin | 302 | Requiere auth |
| /pedidos | 302 | Requiere auth |
| /carrito | 302 | Requiere auth |
| /categorias | 302 | Requiere auth |
| /marcas | 302 | Requiere auth |
| /buscar | 302 | Requiere auth |
| /clientes | 302 | Requiere auth |
| /reportes | 302 | Requiere auth |
| /inventario | 302 | Requiere auth |
| /cotizacion | 302 | Requiere auth |
| /facturas | 302 | Requiere auth |
| /sidekiq | 302 | Requiere auth (Sidekiq existe!) |
| /rails/info | 302 | Requiere auth |
| /rails/mailers | 302 | Requiere auth |
| /rails/conductor | 302 | Requiere auth |
| /rails/action_mailbox | 302 | Requiere auth |
| /active_storage | 302 | Active Storage habilitado |
| /health | 302 | Requiere auth |
| /up | 302 | Requiere auth |

### Hallazgos Heroku

#### A4 — X-Frame-Options: ALLOWALL (ALTA — Clickjacking)
- Cualquier sitio puede embedder la app en un iframe
- Permite ataques de clickjacking sobre acciones autenticadas
- **PoC:** `<iframe src="https://refaccionariasdelvalle.herokuapp.com/cuentas/ingresar" width="100%" height="600"></iframe>`

#### M11 — Error 500 en /users/sign_in (MEDIA)
- Ruta Devise rota retorna error genérico
- Página personalizada "Error de Servidor Interno 500" (no stack trace)
- Indica problemas de configuración

#### M12 — CORS con credenciales (MEDIA)
- `Access-Control-Allow-Credentials: true` con methods POST, PUT, DELETE
- Origin fijo a CloudFront (NO reflectivo — verificado con 3 origins diferentes)
- Menos grave de lo esperado pero la configuración es excesiva

#### M13 — Login sin rate limiting visible (MEDIA)
- `/cuentas/ingresar` acepta POST sin CAPTCHA visible
- Token CSRF estático visible en meta tags
- Login retorna 200 en lugar de redirect (posible brute force)
- reCaptcha se carga pero puede no estar implementado en el form

#### M14 — Sidekiq accesible (MEDIA)
- Ruta `/sidekiq` existe (redirige a login si no autenticado)
- Si se obtienen credenciales, da acceso a la cola de trabajos en background
- Sidekiq dashboard suele exponer Redis info, jobs, estadísticas

#### M15 — Active Storage habilitado (MEDIA)
- `/active_storage` y `/active_storage/blobs` existen
- Si hay blobs con URLs predecibles, podrían ser accesibles

#### B4 — jQuery 1.12.4 (BAJA)
- 6+ CVEs de XSS conocidos
- Versión de 2016

#### B5 — Facebook App ID expuesto (BAJA)
- 1652116431482935 — usable para phishing

#### B6 — Cookie de sesión Rails (BAJA)
- `_refaccionariasdelvalle_session` con HttpOnly+Secure (bien configurada)

#### B7 — Links a servicios externos en footer de login (BAJA)
- cPanel webmail: chi-pnode6.websitehostserver.net:2096
- B2B-POS: b2b-pos.com/login (sistema B2B/POS externo, activo, nginx)

#### I3 — Google Analytics deprecado (INFO)
- UA-40376975-1 (Universal Analytics, deprecado por Google)

---

## Resumen de Severidades

| Severidad | WordPress | Heroku | Total |
|-----------|----------|--------|-------|
| CRÍTICA | 0 | 0 | 0 |
| ALTA | 3 | 1 | 4 |
| MEDIA | 10 | 5 | 15 |
| BAJA | 3 | 4 | 7 |
| INFO/OK | 2 | 1 | 3 |
| **TOTAL** | **18** | **11** | **29** |

---

## Recomendaciones Prioritarias

### Urgentes (Hacer esta semana)
1. Implementar rate limiting y CAPTCHA en wp-login.php
2. Deshabilitar enumeración de usuarios via REST API y mensajes de error
3. Agregar HSTS y todos los headers de seguridad
4. Cambiar DMARC a p=reject y SPF a -all
5. Mover logo a servidor propio (no depender de diseno-studioarsa.com)

### Importantes (Hacer este mes)
6. Actualizar WordPress a 6.9.x
7. Revisar y actualizar todos los plugins
8. Proteger directorio de backups (/wp-content/ai1wm-backups/)
9. Heroku: Cambiar X-Frame-Options a DENY
10. Heroku: Actualizar jQuery a versión moderna
11. Heroku: Corregir error 500 en /users/sign_in
12. Heroku: Restringir CORS methods y deshabilitar credentials

### Deseables (Siguiente trimestre)
13. Implementar WAF (Web Application Firewall)
14. Heroku: Migrar de UA a GA4
15. Heroku: Proteger rutas de Rails (sidekiq, action_mailbox, conductor)
16. Revisar Active Storage para blobs expuestos