Auditoría de Seguridad

📋 Descripción

El sistema de autenticación del panel de administración es completamente client-side. La contraseña se verifica directamente en el navegador contra una variable de entorno expuesta (NEXT_PUBLIC_ADMIN_PASSWORD). No existe validación server-side, lo que permite acceso completo al panel admin simplemente adivinando o brute-forcing la URL /admin-secreto.

⚡ Impacto

• ● Acceso completo al panel de administración sin credenciales válidas
• ● CRUD no autorizado en la base de datos (películas, series, deportes)
• ● Modificación o eliminación de contenido de streaming
• ● Inyección de contenido malicioso en la plataforma

🔧 Código Vulnerable

// admin-secreto/page.tsx - Líneas 5-20 (aproximado)
const [password, setPassword] = useState('')
const [isAuthenticated, setIsAuthenticated] = useState(false)

const handleLogin = () => {
    // ❌ VALIDACIÓN CLIENTE-side SOLAMENTE
    // ❌ NO HAY LLAMADA A API/SERVER
    // ❌ LA CONTRASEÑA ES ACCESIBLE EN EL NAVEGADOR
    if (password === process.env.NEXT_PUBLIC_ADMIN_PASSWORD) {
        setIsAuthenticated(true)
    }
}

// La variable de entorno es pública:
console.log(process.env.NEXT_PUBLIC_ADMIN_PASSWORD) // "Gustavo06$"

✅ Recomendación de Remediación

📋 Descripción

Todas las operaciones Create, Update y Delete en la base de datos se realizan directamente desde el cliente usando el cliente Supabase con la anon_key. No existe middleware ni validación server-side que verifique si el usuario tiene permisos para modificar datos. Cualquier persona puede manipular el contenido de la plataforma.

⚡ Impacto

• ● Inyección de contenido no autorizado en todas las tablas
• ● Eliminación masiva de películas, series y canales deportivos
• ● Modificación de URLs de streaming para redirigir a sitios maliciosos
• ● Enumeración y extracción de datos sensibles

🔧 Código Vulnerable

// admin-secreto/page.tsx - Función de crear película (aproximado)
const crearPelicula = async (data: PeliculaForm) => {
    // ❌ NO HAY VERIFICACIÓN DE PERMISOS
    // ❌ EL ANON KEY PERMITE ACCESO TOTAL SI RLS NO ESTÁ CONFIGURADO
    const { data: result, error } = await supabase
        .from('peliculas')
        .insert([data])
        .select()

    if (error) throw error
    return result
}

✅ Recomendación de Remediación

📋 Descripción

El service worker carga un script externo de 3nbf4.com sin verificación de integridad ni validación. Un atacante que comprometa el dominio externo podría inyectar código malicioso que se ejecutaría en el navegador de todos los usuarios de la plataforma, afectando la funcionalidad completa del sitio.

⚡ Impacto

• ● Ejecución de código JavaScript malicioso en todos los usuarios
• ● Robo de credenciales, tokens de sesión y datos personales
• ● Inyección de anuncios adicionales o malware
• ● Redirección a sitios de phishing
• ● Manipulación del DOM y contenido de video

🔧 Código Vulnerable

// public/sw.js
// ❌ CARGA SCRIPTS EXTERNOS SIN VERIFICACIÓN
// ❌ SIN SUBRESOURCE INTEGRITY (SRI)
// ❌ EL DOMINIO EXTERNO PUEDE SER COMPROMETIDO

importScripts('https://3nbf4.com/act/files/service-worker.min.js');

// ❌ NO HAY hash sha256 PARA VERIFICAR INTEGRIDAD

✅ Recomendación de Remediación