# Superficie de Ataque

## P0

1. Manifiestos Composer descargables.
   - Impacto: fingerprint exacto de dependencias y versiones.
   - Probabilidad: alta, confirmado HTTP 200.
   - Facilidad: trivial.

2. Paquetes ZIP/TAR/GZ descargables.
   - Impacto: exposicion de codigo de modulos, rutas internas y componentes instalables.
   - Probabilidad: alta, confirmado HTTP 200 para muestras.
   - Facilidad: trivial.

3. `admin/migrate/` accesible.
   - Impacto: exposicion de setup/migracion; posible riesgo operativo si contiene acciones alcanzables.
   - Probabilidad: alta, confirmado HTTP 200.
   - Facilidad: baja-media segun controles internos.

## P1

4. KCFinder endpoints publicos.
   - Impacto: file manager/upload si una sesion o configuracion lo habilita.
   - Probabilidad: media; anonimo devuelve error, pero endpoint esta expuesto.
   - Facilidad: media.

5. `vtigercron.php` publico.
   - Impacto: tareas programadas escriben DB si acceso pasa.
   - Probabilidad: baja-media; anonimo bloqueado.
   - Facilidad: media si sesion valida.

6. Headers de seguridad ausentes.
   - Impacto: aumenta impacto de XSS/clickjacking/sniffing.
   - Probabilidad: alta.
   - Facilidad: depende de vulnerabilidad secundaria.

## P2

7. Directorios residuales en webroot: `test`, `pkg`, `cache`, `packages`, `cron`, `logs`, `storage`.
8. `robots.txt` bajo `/admin` revela que todo el CRM debe excluirse de bots, pero no protege acceso.
9. `config.inc.php` ejecuta vacio, pero sigue siendo critico ante mala configuracion PHP.