Academia Lendária L3 — prévia (teaser)
4 ALTO · 10 MÉDIO. Riscos graves na superfície pública. O teaser mostra contagem e títulos. O FULL libera links de prova, impacto hacker/agente, dono, PoC, fix e validação — para
Resumo (teaser)
Porque isto não é “só um PDF técnico”
Um hacker usa estes achados como mapa. Um agente hacker faz o mesmo em loop 24/7. Teaser = gravidade. FULL = prova + impacto + fix.
recon → invasão → destrutivo · detalhe no FULLRiscos graves na superfície pública. O teaser mostra contagem e títulos. O FULL libera links de prova, impacto hacker/agente, dono, PoC, fix e validação — para o time agir.
Stack nesta corrida
| Componente | Incluído? | Nota |
|---|---|---|
| Sentinel L3 | SIM | public-max |
| ParviClaw Core + AWP | SIM (lab) | pack no FULL |
| ParviSight | parcial | conforme corrida |
| PayBotFin Witness | conforme eng | honestidade no FULL |
Achados ALTO — bloqueados no teaser
Grafana com métricas públicas (sem autenticação)
ALTOPorta SSH 22 aberta no servidor do portal
ALTOProvedor de personificação (impersonation) anunciado no Auth.js
ALTOInterface do Grafana no DNS da marca
ALTOAchados MÉDIO — prévia curta
CSP só em modo relatório, com scripts inseguros
MÉDIOO site www envia Content-Security-Policy apenas como report-only (não bloqueia), ainda permitindo scripts embutidos, eval, Google Tag Manager e Facebook. Impacto completo, PoC, dono e fix → relatório FULL.
Cabeçalho CORS liberado para qualquer origem (*)
MÉDIOTodas as respostas do www anunciam Access-Control-Allow-Origin: *. Risco menor em página estática, mas ruidoso e perigoso se alguma API autenticada compartilhar a origem. Impacto completo, PoC, dono e fix → relatório FULL.
Certificado TLS compartilhado com igorrover.com.br
MÉDIOO certificado tem CN portal.igorrover.com.br; o SAN inclui portal e cal de academialendaria.ai e de igorrover.com.br. Impacto completo, PoC, dono e fix → relatório FULL.
Endpoint de saúde do portal público
MÉDIO/api/health responde JSON anônimo com status de schema — útil para reconhecimento. Impacto completo, PoC, dono e fix → relatório FULL.
Hostname Prometheus público (autenticação básica)
MÉDIOprometheus.academialendaria.ai pede usuário/senha (melhor que o Grafana), mas continua superfície de ataque no DNS da marca. Impacto completo, PoC, dono e fix → relatório FULL.
Registros CAA confusos / malformados
MÉDIOVários emissores de certificado e valores malformados (ex.: texto duplicado “issuewild” dentro do campo). Impacto completo, PoC, dono e fix → relatório FULL.
Caminhos desconhecidos devolvem erro 502
MÉDIOA borda Vercel devolve 502 com mensagem DNS_HOSTNAME_NOT_FOUND em várias rotas inexistentes. Não é vazamento de segredo, mas higiene quebrada. Impacto completo, PoC, dono e fix → relatório FULL.
HSTS do domínio raiz mais fraco que o www
MÉDIOO redirecionamento do apex não envia includeSubDomains e preload como o www. Impacto completo, PoC, dono e fix → relatório FULL.
DNS da marca apontando para n8n
MÉDIOn8n.academialendaria.ai resolve no DNS; o HTTPS deu timeout nesta rodada (possível firewall). Continua inventário público. Impacto completo, PoC, dono e fix → relatório FULL.
Supabase liberado no connect-src da CSP
MÉDIOO navegador pode falar com *.supabase.co. Garantir só a chave anônima pretendida e políticas RLS — sem chave de serviço no cliente. Impacto completo, PoC, dono e fix → relatório FULL.
Anexos AWP + Core (prévia)
No FULL cada ficheiro tem legenda + como correr npx agent-witness-protocol verify.