Assessment de Segurança · Recon passivo
O que um levantamento não-intrusivo — só lendo respostas HTTP públicas e o JavaScript do navegador — revelou sobre o SaaS mvcore.com.br, e o arsenal com que ele será auditado.
Sem disparar um único scan, a superfície pública do MVCore já entrega seis pontos que merecem ação — um de severidade média-alta e, mais sério, um risco de isolamento entre clientes que precisa ser testado com urgência. É um SaaS de varejo multi-tenant em Vue 3 sobre Django REST Framework, e é justamente o modelo multi-tenant que concentra o maior risco.
Os tokens de acesso e de renovação (JWT) ficam em armazenamento local do navegador, legível por qualquer script da página. Uma falha de XSS permite sequestrar a sessão do usuário por inteiro.
A API multi-tenant usa identificadores nas rotas. Se a autorização não isolar cada cliente, um tenant acessa dados de outro apenas trocando o ID — impacto direto de negócio e de LGPD. Só se detecta com teste manual; nenhum scanner automático encontra.
Faltam HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy e Permissions-Policy. Amplia a exposição a XSS, sniffing de conteúdo e downgrade de conexão.
Sem proteção de frame, a aplicação pode ser embutida num iframe malicioso para induzir cliques do usuário.
O servidor anuncia versão e SO, e a versão em uso está em fim de vida. Facilita o mapeamento de exploits conhecidos.
Todo o mapa de endpoints se extrai do JavaScript servido ao navegador. É inerente a aplicações SPA, mas reduz o esforço de reconhecimento de um atacante — e reforça a necessidade de autorização robusta no back-end.
Os mapas de código-fonte não estão acessíveis — configuração correta, manter assim.
Tecnologias
Endpoints mapeados
Mapear domínios, subdomínios e portas expostas.
Protocolos, cifras e headers de segurança.
Varredura dinâmica e proxy de interceptação.
Rotas e parâmetros ocultos, painel administrativo.
IDOR entre tenants, JWT e lógica de negócio — o coração do risco.
Confirmar que o achado é realmente explorável.
Análise estática, bibliotecas vulneráveis e segredos.
Imagens, infraestrutura como código e postura de nuvem.
Consolidar, deduplicar e acompanhar os achados.
Scans ativos serão executados somente com autorização por escrito e, de preferência, contra ambiente de homologação — nunca em produção sem janela acordada. Todo o conteúdo deste dossiê foi obtido de forma não-intrusiva: apenas leitura de respostas HTTP públicas e do JavaScript servido ao navegador.