Agencia Nacional de Contratacion Publica - Colombia Compra Eficiente
Rama Ejecutiva · Sector planeacion · Agencia
Riesgo crítico. Se detectó: WordPress expone listado de usuarios y emails (Habeas Data) y bucket de almacenamiento cloud listable con objetos visibles. Adicionalmente, 3 de los hallazgos detectados se replican en otras entidades del Estado — el patrón sugiere causa raíz compartida (proveedor común, template institucional o stack heredado). Acción inmediata: bloquear /wp-json/wp/v2/users o configurar para no exponer emails — es divulgación de datos personales (Habeas Data).
Hallazgos (12)
Enumeracion de 19 cuentas incluyendo administrador de base de datos en CCE
CriticaLa API REST de WordPress de Colombia Compra Eficiente expone 19 cuentas de usuario, incluyendo dbadminRelatoria.
La cuenta de administrador de base de datos expuesta facilita ataques dirigidos a la plataforma de contratacion publica.
SPF ausente en relatoria.colombiacompra.gov.co
AltaNo hay registro v=spf1 publicado.
Sin SPF, cualquier servidor del mundo puede enviar correo con remitente @relatoria.colombiacompra.gov.co. Spoofing trivial contra ciudadanos y proveedores.
Hallazgo agrupado por similitud semántica (21 findings, 21 entidades)
AltaML clustering identificó 21 findings similares afectando 21 entidades distintas. Categoría dominante: datos_personales. Severidades: {'alta': 21}. Muestra: SPF ausente en secretariasenado.gov.co | SPF ausente en gov.co | SPF ausente en relatoria.colombiacompra.gov.co.
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
Hallazgo agrupado por similitud semántica (69 findings, 41 entidades)
AltaML clustering identificó 69 findings similares afectando 41 entidades distintas. Categoría dominante: divulgacion_informacion. Severidades: {'alta': 69}. Muestra: WordPress REST expone listado de usuarios en prosperidadsocial.gov.co | WordPress REST expone listado de usuarios en relatoria.colombiacompra.gov.co | WordPress REST expone listado de usuarios en esap.edu.co.
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
WordPress REST expone listado de usuarios en relatoria.colombiacompra.gov.co
AltaGET https://relatoria.colombiacompra.gov.co/wp-json/wp/v2/users retorna JSON con usuarios (id/name/slug). Sample: [{"id":33,"name":"andrea garzon","url":"","description":"","link":"https:\/\/relatoria.colombiacompra.gov.co\/author\/andrea-garzon\/","slug":"andrea-garzon","avatar_urls":{"24":"https:\/\/secure.gr
El endpoint /wp-json/wp/v2/users entrega usernames y a veces emails de la instalación WP. Permite enumerar nombres válidos para bruteforce dirigido y phishing personalizado.
Certificado wildcard cubre 1 dominios en relatoria.colombiacompra.gov.co
MediaWildcards en SAN: *.colombiacompra.gov.co. Total SAN: 2.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en relatoria.colombiacompra.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
DKIM no detectado en relatoria.colombiacompra.gov.co (selectores comunes)
MediaProbados 12 selectores comunes (default, mail, google, mailgun, etc.) — ninguno responde con v=DKIM1.
Sin DKIM, los receptores no pueden verificar criptográficamente que un correo proviene del servidor autorizado. Combinado con DMARC permisivo, deja la puerta abierta a spoofing.
robots.txt revela 2 ruta(s) sensibles en relatoria.colombiacompra.gov.co
MediaDisallow/Allow incluye: /wp-admin/admin-ajax.php, /wp-admin/. robots.txt es publico — los crawlers respetan, los atacantes lo usan como mapa.
robots.txt no impide acceso, solo solicita ignorar a crawlers benignos. Listar paths internos/admin alli es un atajo para enumerar superficie sensible.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
CCE rastrea ciudadanos con servicios de rastreo
MediaEl portal de Agencia Nacional de Contratacion Publica - Colombia Compra Eficiente carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. CCE gestiona el sistema de contratacion publica de Colombia. SECOP contiene datos de miles de contratos y proveedores. La integridad de la contratacion publica depende de este portal. Poblacion afectada: ~200,000 proveedores registrados en SECOP.
XML-RPC habilitado en Agencia Nacional de Contratacion Publica - Colombia Compra Eficiente
MediaEl endpoint xmlrpc.php esta habilitado en Agencia Nacional de Contratacion Publica - Colombia Compra Eficiente. Puede usarse para ataques de fuerza bruta amplificados.
XML-RPC permite intentos de autenticacion masivos en una sola peticion, facilitando ataques de fuerza bruta.
Activos públicos (1)
relatoria.colombiacompra.gov.co
subportal
Mejor postura de headers (7/8). WordPress REST API abierta con 19 usuarios expuestos incl. dbadminRelatoria.
Observado: 2026-04-03