highopeninform_after

Automatische Prüfung: jungetat.ch

jungetat.ch · Absender dieser Kommunikation Mia Huber (CH)

Automatischer Tiefen-Scan von jungetat.ch (https://jungetat.ch/). 10 Auffälligkeiten. CMS-Fingerprint: WordPress. Scan basiert ausschliesslich auf öffentlich abrufbaren HTTP-Antworten.

An wen geht der Brief?

Was uns aufgefallen ist

WordPress-Nutzer auflistbar
WordPress-REST-API gibt Benutzer-Slugs preis (User Enumeration).
sehr sicher
Sicherheits-Header fehlen
Weder X-Frame-Options noch frame-ancestors in CSP — Clickjacking-Schutz fehlt.
recht sicher
WordPress XML-RPC aktiv
WordPress XML-RPC aktiv (häufiger Brute-Force-Vektor).
recht sicher
Datenschutz nicht verlinkt
Kein Datenschutz/Privacy-Link auf der Startseite sichtbar.
recht sicher
Impressum unvollständig
Impressum-Seite ohne klar erkennbare Angaben zu: company, register, vatid.
recht sicher
Sicherheits-Header fehlen
Referrer-Policy-Header fehlt.
möglich
WordPress-Login offen
WordPress-Login öffentlich erreichbar ohne zusätzlichen Schutz.
möglich
Sicherheits-Header fehlen
Permissions-Policy-Header fehlt.
möglich
Keine security.txt
Keine /.well-known/security.txt — keine koordinierte Offenlegung möglich.
möglich
Admin-Bereiche erreichbar
Mehrere Admin-Einstiegspunkte direkt erreichbar: /admin, /wp-admin/, /login.
möglich

Von"Mia Huber" <mia.huber@kampa.app>

Anjungetat@protonmail.ch

Antwort anmia.huber+489b0404-9c79-424d-8ac0-8cbdbbafc2dc@kampa.app

BetreffSachliche Information zu jungetat.ch (formal warning)

Sehr geehrte verantwortliche Person,

wir haben einen automatischen Tiefen-Scan der Website jungetat.ch durchgeführt und möchten Ihnen einige beobachtete Auffälligkeiten mitteilen. Unsere Untersuchung hat folgende Punkte ergeben:

* Fehlende Sicherheitsheader wie X-Frame-Options und frame-ancestors in CSP, was Clickjacking-Schutz vermissen lässt
* Fehlende Referrer-Policy- und Permissions-Policy-Header
* Keine /.well-known/security.txt für koordinierte Offenlegung
* Öffentlich erreichbares WordPress-Login ohne zusätzlichen Schutz
* Aktivierte WordPress XML-RPC, häufiger Brute-Force-Vektor
* WordPress-REST-API gibt Benutzer-Slugs preis
* Kein Datenschutz/Privacy-Link auf der Startseite sichtbar
* Unvollständige Impressum-Seite
* Mehrere Admin-Einstiegspunkte direkt erreichbar

Wir bitten Sie, diese Punkte zu prüfen und gegebenenfalls Abhilfe zu schaffen. Wir sind an einer kooperativen Lösung interessiert und laden Sie zur Diskussion ein. Es ist möglich, dass unsere Beobachtungen von Dritten überprüft werden.

Mit freundlichen Grüßen,
[Ihr Name]

Lies den Brief. Ändere, was du willst. Danach schickst du ihn ab.

Audit-Log (3)

2026-04-23 20:16:17api/generate-draftgenerate
2026-04-23 20:15:14api/discoverdiscover
2026-04-23 20:15:09api/wizardscan_complete

Eskalations-Begründung

high severity — notify after third-party step