# Matriz de Prioridad

| Prioridad | Hallazgo | Impacto | Probabilidad | Facilidad | Accion recomendada |
|---|---|---|---|---|---|
| P0 | `composer.json`/`composer.lock` 200 | Alto | Alta | Trivial | Bloquear por servidor o mover fuera de webroot |
| P0 | ZIP/TAR/GZ publicos | Alto | Alta | Trivial | Bloquear extensiones/paths o mover artefactos |
| P0 | `/admin/migrate/` 200 | Alto | Alta | Media | Bloquear/eliminar de produccion tras respaldo |
| P1 | KCFinder endpoints 200 | Alto | Media | Media | Restringir por autenticacion/servidor, revisar uploadDir |
| P1 | `vtigercron.php` publico | Alto | Media | Media | Restringir a CLI/IP/token robusto |
| P1 | PHPSESSID sin flags visibles | Medio | Alta | Media | Configurar Secure/HttpOnly/SameSite |
| P2 | Falta CSP/HSTS/XFO/XCTO | Medio | Alta | Dependiente | Agregar headers |
| P2 | `cache/` 200 | Bajo-Medio | Alta | Trivial | Bloquear index y archivos sensibles |
| P2 | `test/pkg/packages` en webroot | Medio | Alta | Variable | Limpieza controlada |