Escuela Superior de Administracion Publica
Rama Ejecutiva · Sector funcion_publica · Establecimiento público
Riesgo alto. Hallazgos de severidad alta principalmente en configuración de seguridad básica (DMARC, CAA, headers). Adicionalmente, 2 de los hallazgos detectados se replican en otras entidades del Estado — el patrón sugiere causa raíz compartida (proveedor común, template institucional o stack heredado). Acción inmediata: bloquear /wp-json/wp/v2/users o configurar para no exponer emails — es divulgación de datos personales (Habeas Data).
Hallazgos (9)
Hallazgo agrupado por similitud semántica (69 findings, 41 entidades)
AltaML clustering identificó 69 findings similares afectando 41 entidades distintas. Categoría dominante: divulgacion_informacion. Severidades: {'alta': 69}. Muestra: WordPress REST expone listado de usuarios en prosperidadsocial.gov.co | WordPress REST expone listado de usuarios en relatoria.colombiacompra.gov.co | WordPress REST expone listado de usuarios en esap.edu.co.
Findings agrupados por similitud semántica reflejan una vulnerabilidad común (causa raíz compartida): mismo proveedor, misma configuración por defecto, o mismo template institucional sin endurecer. Resolver el problema en una entidad sin coordinar con las demás deja el problema activo en N-1 entidades.
WordPress REST expone listado de usuarios en esap.edu.co
AltaGET https://esap.edu.co/wp-json/wp/v2/users retorna JSON con usuarios (id/name/slug). Sample: [{"id":1,"name":"Admin_esap","url":"https:\/\/www2.esap.edu.co","description":"","link":"https:\/\/www.esap.edu.co\/author\/admin_esap\/","slug":"admin_esap","avatar_urls":{"24":"https:\/\/secure.grav
El endpoint /wp-json/wp/v2/users entrega usernames y a veces emails de la instalación WP. Permite enumerar nombres válidos para bruteforce dirigido y phishing personalizado.
Panel administrativo /wp-admin/ accesible en esap.edu.co
AltaGET https://esap.edu.co/wp-admin/ retorna HTTP 200 con un formulario de login.
Los paneles administrativos publicamente accesibles son objetivo prioritario de bruteforce y exploits especificos del CMS. Buena practica: restringir acceso por IP o exigir VPN.
Certificado wildcard cubre 1 dominios en esap.edu.co
MediaWildcards en SAN: *.esap.edu.co. Total SAN: 2.
Wildcard certs simplifican operación pero amplían el blast radius: si la llave privada se compromete, el atacante impersona TODOS los subdominios cubiertos. Buena práctica: cert por servicio.
DNSSEC ausente en esap.edu.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
DNS de esap.edu.co totalmente fuera de Colombia
MediaNS records: ns-cloud-c4.googledomains.com, ns-cloud-c3.googledomains.com, ns-cloud-c2.googledomains.com, ns-cloud-c1.googledomains.com
Toda la zona DNS está bajo proveedores extranjeros — los logs de queries DNS, claves DNSSEC y eventual modificación quedan bajo jurisdicción foránea. Para el Estado, esto debería evaluarse contra Ley 1581/2012.
83 portales cargan scripts externos sin verificacion de integridad
Media83 portales del Estado cargan bibliotecas JavaScript desde CDNs externos sin Subresource Integrity (SRI). Un CDN comprometido podria inyectar codigo malicioso.
Sin SRI, un compromiso del CDN externo infectaria automaticamente multiples portales del Estado colombiano.
ESAP rastrea ciudadanos con servicios de rastreo
MediaEl portal de Escuela Superior de Administracion Publica carga scripts de rastreo (servicios de rastreo) que envian datos de navegacion de ciudadanos a terceros.
Portales gubernamentales que rastrean ciudadanos sin consentimiento explicito pueden violar la Ley 1581/2012 de Proteccion de Datos Personales. Datos de formacion de servidores publicos. Poblacion afectada: servidores publicos en formacion.
XML-RPC habilitado en Escuela Superior de Administracion Publica
MediaEl endpoint xmlrpc.php esta habilitado en Escuela Superior de Administracion Publica. Puede usarse para ataques de fuerza bruta amplificados.
XML-RPC permite intentos de autenticacion masivos en una sola peticion, facilitando ataques de fuerza bruta.
Activos públicos (1)
esap.edu.co
portal principal
Server: Apache/2.4.62 (Debian)
Observado: 2026-04-03