Avaliação de superfície pública — Academia Lendária
O reteste confirma que AL-H1 (Grafana), AL-H2 (impersonation no portal) e AL-H3 (SSH) ainda estão abertos. Prometheus continua protegido (401). A LP www está razoavelmente limpa face aos riscos de ops.
Resumo executivo
Porque agir agora
Estes achados não são teóricos: são superfícies públicas que um humano ou um agente hacker pode consumir hoje. Cada cartão tem prova, impacto, dono, fix e validação.
O reteste confirma que AL-H1 (Grafana), AL-H2 (impersonation no portal) e AL-H3 (SSH) ainda estão abertos. Prometheus continua protegido (401). A LP www está razoavelmente limpa face aos riscos de ops.
Stack nesta corrida
| Componente | Usado | Nota |
|---|---|---|
| ParviClaw Core + AWP | SIM (lab) | pack completo no engagement |
| ParviSight browser | parcial | HTTP walk / agentic |
| PayBotFin Witness live | conforme eng | honestidade no anexo |
Achados
Cada achado: problema, onde (link), impacto, dono, PoC, fix, validar.
Grafana com metrics e health sem login
ALTO** Anyone on the internet can read Prometheus-style metrics and Grafana health/version without login. last_reprobe=2026-07-31 (pack l3-evidence).
- Human: Public engineering/tooling on brand DNS (Grafana com metrics e health sem login) yields free recon (versions, configs, APIs, login edges).
- Agent (LLM+tools): Probe APIs/health/swagger in 24/7 loops; correlate versions with CVEs; chain hosts.
- If invasive/destructive: If auth is weak later: source, secrets, CI, or automation takeover. L3 only proves public exposure (read-only).
Academia Lendária — ops/infra. Não é “bug do software Grafana em si”: é a exposição do vosso Grafana no DNS público sem auth.
Read-only checks for your team to reproduce. They do not change the system.
curl -sSI 'https://academialendaria.ai/
Remove from public DNS or require VPN/SSO; disable anonymous APIs; re-test from the public internet on academialendaria.ai.
Remove from public DNS or require VPN/SSO; disable anonymous APIs; re-test from the public internet on academialendaria.ai.
Portal com provider impersonation público
ALTO** Auth.js exposes credentials provider id impersonation on public API. last_reprobe=2026-07-31 (pack l3-evidence).
- Human: Public auth/federation metadata and login edges expand phishing and IdP attack surface.
- Agent (LLM+tools): Map OIDC/SAML endpoints, grant types, tenants; watch for misconfig and token issues.
- If invasive/destructive: Auth abuse or account pivot if combined with other bugs. L3 only maps public metadata/edges.
Academia Lendária — aplicação do portal (Auth.js/Next no host portal). Não é a LP www nem a Grafana.
Read-only checks for your team to reproduce. They do not change the system.
curl -sSI 'https://academialendaria.ai/
Remove non-prod auth edges from public DNS; prefer auth code+PKCE; conditional access; minimize public metadata where possible.
Remove non-prod auth edges from public DNS; prefer auth code+PKCE; conditional access; minimize public metadata where possible.
SSH aberto no servidor do portal
ALTOA porta 22 responde na internet com OpenSSH 9.6p1 Ubuntu — superfície de brute-force e exploits.
academialendaria.ai · TCP/22 (SSH)
- Human: SSH on a public web IP is a permanent brute-force and botnet target.
- Agent (LLM+tools): Port-scan brand IPs continuously; spray keys/passwords against open TCP/22.
- If invasive/destructive: Shell on host → full compromise of web/origin. L3 only proves port open (banner/connect), no login attempt beyond RoE.
Academia Lendária — infra do servidor do portal (firewall / hardening). Não é a app em si.
Read-only TCP check (no login). Does not change the system.
nc -zv -w 3 portal.academialendaria.ai 22 # or: nmap -Pn -p 22 portal.academialendaria.ai # Expect: open/filtered. Do not brute-force.
Close TCP/22 on public edge or restrict by allowlist/bastion; keys-only; fail2ban; no password auth.
Close TCP/22 on public edge or restrict by allowlist/bastion; keys-only; fail2ban; no password auth.
CORS Access-Control-Allow-Origin: * na landing
MÉDIORespostas da LP permitem origem arbitrária (*).
- Human: Over-permissive CORS can let malicious sites read authenticated API responses in a browser.
- Agent (LLM+tools): Test Origin reflections across APIs; chain with cookie-auth endpoints.
- If invasive/destructive: Cross-origin data theft from logged-in users. L3 only observes CORS headers.
Academia Lendária — site de marketing (Vercel/Next headers). Prioridade menor que H1–H3.
Read-only checks for your team to reproduce. They do not change the system.
curl -sSI 'https://evil.example' curl -sSI 'https://www.academialendaria.ai/' curl -sSI 'https://www.academialendaria.ai
Reflect only trusted Origins; avoid Access-Control-Allow-Origin: * on credentialed APIs.
Reflect only trusted Origins; avoid Access-Control-Allow-Origin: * on credentialed APIs.
Anexos de evidência (AWP + Core)
Pack real do retest 2026-07-31. Cada ficheiro tem legenda.
O que é: recibo AWP assinado.
O que prova: integridade do log do nosso teste.
O que NÃO é: não prova sozinho o bug no host (isso é o PoC).
abrir awp-receipt.json
O que é: diário append-only do engagement.
abrir leaves.jsonl
Probes e export Core do retest.
abrir pasta evidence
Como verificar o recibo AWP
cd retest-evidence-2026-07-31 npx agent-witness-protocol verify awp-receipt.json
PASS honesto: integridade do registo do teste — não substitui o PoC do achado.
Ordem de correção para o time
- Fechar exposições ALTO primeiro (auth / VPN / DNS / política).
- Corrigir MÉDIO (headers, e-mail, non-prod).
- Retestar cada PoC na internet pública até fechar.
- Arquivar pack AWP/evidência para auditoria e retest.