# Reconocimiento Completo - Refaccionarias del Valle
**Objetivo:** https://refaccionariasdelvalle.com + https://refaccionariasdelvalle.herokuapp.com
**Fecha:** 2026-03-25
**Tipo:** WordPress + WooCommerce (e-commerce) + Ruby on Rails (Heroku)

## DNS
- **IP:** 44.229.95.150 (AWS Oregon)
- **MX:** mail.refaccionariasdelvalle.com
- **NS:** GreenGeeks (ns1/ns2.greengeeks.net)
- **SPF:** `v=spf1 ip4:108.163.225.126 include:spf.greengeeks.net ip4:69.175.98.166 +a +mx ~all`
- **DMARC:** `v=DMARC1; p=none;` (sin enforcement)

## Infraestructura

### Sitio WordPress (Principal)
- **Hosting:** GreenGeeks → AWS Oregon
- **Servidor:** Apache
- **CMS:** WordPress 6.7.5 (no es la última 6.9.x)
- **Theme:** Woodmart 7.6.0
- **SSL:** Let's Encrypt E7 (válido hasta 2026-06-06)
- **E-commerce:** WooCommerce 9.8.7 (moneda: MXN, país: MX/BC)

### Aplicación Heroku (Legacy/B2B)
- **Plataforma:** Ruby on Rails en Heroku
- **CDN:** CloudFront (d134yvfg5nzhu8.cloudfront.net)
- **S3:** refaccionariasdelvallepg.s3.us-west-1.amazonaws.com
- **Analytics:** Google Analytics UA-40376975-1
- **Facebook App ID:** 1652116431482935

## Plugins Detectados (WordPress)

| Plugin | Versión | Riesgo |
|--------|---------|--------|
| WPBakery (js_composer) | 7.9 | CVE-2024-6457 (XSS no autenticado < 7.8) — versión 7.9 puede estar parcheada |
| WooCommerce | 9.8.7 | Tienda activa con pagos |
| Contact Form 7 | 6.0.6 | Generalmente seguro |
| CF7 Conditional Fields | — | Extensión de CF7 |
| Forminator | 1.42.2 | Plugin de formularios con preview API |
| Google Site Kit | 1.151.0 | Integración Google |
| Click to Chat WhatsApp | 4.15 | Bajo riesgo |
| Real3D FlipBook Lite | — | Verificar CVEs |
| Yoast SEO | 24.9 | Generalmente seguro |
| WPForms | — | API REST expuesta |
| WPMU DEV | — | Hub Connector y Defender/Smush probable |
| Jetpack | — | API v4 expuesta |

## Hallazgos

### Sitio WordPress

| # | Hallazgo | Severidad |
|---|----------|-----------|
| C1 | **Directorio de backups accesible** — `/wp-content/ai1wm-backups/` retorna 200. All-in-One WP Migration crea backups completos del sitio (BD + archivos). Si hay archivos .wpress aquí, contienen TODO: credenciales, BD, wp-config | CRÍTICA |
| A1 | **Enumeración de usuarios** — `adminRDelValle` (ID:1, super_admin) expuesto via REST API, author pages, y oembed. Gravatar hash: `41c8ce28f93662502ca9b9aec99fe2c8` | ALTA |
| A2 | **wp-login.php sin rate limiting** — 5 intentos consecutivos en <2s sin bloqueo. Con usuario conocido (`adminRDelValle`), fuerza bruta es viable | ALTA |
| A3 | **WooCommerce sin HSTS** — tienda con pagos en MXN sin Strict-Transport-Security. Datos de pago vulnerables a downgrade HTTPS→HTTP | ALTA |
| A4 | **DMARC p=none** — política de correo no enforce. Cualquiera puede enviar emails como @refaccionariasdelvalle.com | ALTA |
| A5 | **WooCommerce Store API expone estructura** — atributo "Marca" con 66 valores, carrito accesible sin auth, estructura de checkout visible | ALTA |
| M1 | **7/7 headers de seguridad ausentes** — Sin HSTS, CSP, X-Frame-Options, X-Content-Type-Options, etc. | MEDIA |
| M2 | **WordPress 6.7.5** — 2 versiones menores atrás de 6.9.x | MEDIA |
| M3 | **WPBakery 7.9** — changelog.txt público en `/wp-content/plugins/js_composer/changelog.txt`. Historial de CVEs aunque versión actual puede estar parcheada | MEDIA |
| M4 | **Woodmart 7.6.0** — verificar actualizaciones del theme premium | MEDIA |
| M5 | **SPF con ~all (softfail)** — debería ser -all para rechazo estricto | MEDIA |
| M6 | **wp-admin/install.php accesible** — muestra "Ya instalado" pero confirma WP + revela versión exacta | MEDIA |
| M7 | **Forminator API** — endpoint `/wp-json/forminator/v1/preview/forms` acepta requests, retorna `success:false` pero podría explotarse con module_id válido | MEDIA |
| M8 | **Application Passwords habilitado** — endpoint de autorización en `/wp-admin/authorize-application.php` expuesto | MEDIA |
| M9 | **Logo servido desde dominio externo** — `diseno-studioarsa.com` (developer tercero) aloja el logo oficial. Si ese dominio se compromete, XSS en Refaccionarias | MEDIA |
| I1 | **XMLRPC bloqueado (403)** — bien configurado | OK |
| I2 | **WooCommerce logs/uploads directorios** — retornan 200 pero sin listing (vacíos) | BAJA |
| I3 | **wp-content/uploads bloqueado (403)** — bien configurado | OK |
| I4 | **robots.txt** — revela rutas de WooCommerce logs | BAJA |

### Aplicación Heroku (Legacy)

| # | Hallazgo | Severidad |
|---|----------|-----------|
| H1 | **X-Frame-Options: ALLOWALL** — permite clickjacking completo. Cualquier sitio puede embedder la app en un iframe | ALTA |
| H2 | **CORS misconfiguration** — `Access-Control-Allow-Credentials: true` + `Allow-Methods: POST, PUT, DELETE, GET, OPTIONS`. Origin fijo a CloudFront pero permite operaciones destructivas | ALTA |
| H3 | **Endpoints /users y /products retornan 500** — error no manejado. Devise (autenticación) está roto. Puede revelar stack traces en modo debug | ALTA |
| H4 | **Panel admin accesible** — `/admin` redirige a login en `/cuentas/ingresar`. Sin CAPTCHA visible | MEDIA |
| H5 | **CSRF token estático en meta tags** — token visible en HTML source para cada request | MEDIA |
| H6 | **Facebook App ID expuesto** — 1652116431482935, podría usarse para phishing | MEDIA |
| H7 | **Cookie de sesión Rails expuesta** — `_refaccionariasdelvalle_session` con base64-encoded data | BAJA |
| H8 | **jQuery 1.12.4** — versión de 2016 con múltiples CVEs de XSS | MEDIA |
| H9 | **Google Analytics legacy** — UA-40376975-1 (Universal Analytics, deprecado) | BAJA |

## Resumen de Severidades
- **CRÍTICA:** 1 (directorio backups)
- **ALTA:** 7 (usuarios expuestos, sin rate limiting, sin HSTS, DMARC none, store API, X-Frame-Options ALLOWALL, CORS)
- **MEDIA:** 12
- **BAJA/INFO:** 4

## Recomendaciones Prioritarias
1. **URGENTE:** Eliminar o proteger `/wp-content/ai1wm-backups/` — puede contener backup completo del sitio
2. Implementar rate limiting y CAPTCHA en wp-login.php
3. Deshabilitar enumeración de usuarios via REST API
4. Agregar todos los headers de seguridad (HSTS, CSP, X-Frame-Options DENY)
5. Cambiar DMARC a `p=reject` y SPF a `-all`
6. Actualizar WordPress a la última versión
7. Revisar y actualizar todos los plugins
8. Heroku: Cambiar X-Frame-Options a DENY, restringir CORS
9. Heroku: Corregir error 500 en /users y /products (Devise roto)
10. Heroku: Actualizar jQuery a versión moderna