# Webroot

Raiz auditada: `/home/gravim1/public_html`.

## Hallazgos descargables confirmados

| Ruta publica | HTTP | Riesgo | Observacion |
|---|---:|---|---|
| `/admin/composer.json` | 200 | P0 | Expone nombre de proyecto y dependencias |
| `/admin/composer.lock` | 200 | P0 | Expone versiones exactas de dependencias |
| `/admin/packages/vtiger/mandatory/Mobile.zip` | 200 | P0 | ZIP descargable |
| `/admin/cache/Project.zip` | 200 | P0 | ZIP descargable en cache |
| `/admin/libraries/jquery/pdfjs/web/web.tar` | 200 | P0 | TAR descargable |
| `/admin/libraries/jquery/pdfjs/web/web.tar.gz` | 200 | P0 | GZ descargable |
| `/admin/migrate/` | 200 | P0 | UI/setup de migracion accesible |
| `/admin/cache/` | 200 | P1 | Expone mensaje operativo |
| `/admin/vtigercron.php` | 200 | P1 | Responde `Access denied!`; endpoint publico |

## Eliminado

- `/admin/gravimex.zip`: eliminado por autorizacion especial. Ver `11_DELETE_LOG.md`.

## Artefactos restantes por lectura local

- ZIPs en `admin/packages/vtiger/mandatory`, `optional`, `marketplace`.
- ZIPs en `admin/cache`.
- TAR/TAR.GZ en `admin/libraries/jquery/pdfjs/web`.
- SQL de librerias/test en `libraries/adodb_vtigerfix/session` y `libraries/HTTP_Session2/docs`.

## Recomendacion

Bloquear o mover fuera de webroot todos los manifiestos, lockfiles, paquetes, dumps, tarballs y herramientas de instalacion/migracion que no sean estrictamente publicos.