DiarioDeLeon.es

Hola, soy aficionado a las auditorias de seguridad web y he detectado un pequeño fallo de seguridad en su web. No sé si es el correo adecuado pero en caso de no serlo, remitidlo a vuestro departamento de informática.

Básicamente, el fallo consiste en que no estáis escapando correctamente la información de entrada del buscador ya que solo escapáis los carácteres > y < pero no es suficiente ya que si se utiliza un vector de ataque tal que:

" onmouseover="alert('xss');" 

Y luego se pasa el ratón por el cajón de la búsqueda de texto se ejecuta ese código.

Se puede ejecutar código javascript remoto, esta simplemente es la prueba de concepto pero tiene otros usos más maliciosos si no se corrige. En twitter ocurrió algo igual hace algunos años: https://blog.twitter.com/2010/all-about-onmouseover-incident

Para solucionarlo simplemente deben escapar los carácteres tales que '';!--"<>=&{()}

Adjunto capturas para que se entienda mejor.

Un saludo.