Created
August 12, 2014 18:20
-
-
Save MiguelBel/cf6c78a610fbb4f2f653 to your computer and use it in GitHub Desktop.
This file contains bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
| Remitir con relativa celeridad al departamento de desarrollo/informática. | |
| Hola, he encontrado una vulnerabilidad en su página web (http://www.sacyr.com) que permite ejecutar código javascript. | |
| --- | |
| Bypass Google Chrome Auditor: No | |
| Web: http://www.sacyr.com | |
| Vulnerabilidad: Reflected XSS | |
| PoC (Proof of concept) - Prueba de concepto: http://www.sacyr.com/syv/Door.do?OPERATION=portalGrupo&FUNCTION=13&locale=es¶m=%22%3E%3Cscript%3Ealert%28%27XSS%27%29;%3C/script%3E | |
| Attack Vector - Vector de ataque: "><script>alert('XSS');</script> | |
| Descripción: Permite la ejecución de código javascript por parte del usuario que suele ser empleado para el robo de credenciales. Puede llegar a ser muy grave si se emplea con fines maliciosos. | |
| Solución: Escapar correctamente los caracteres especiales '';!--"<XSS>=&{()} | |
| Un saludo, espero su respuesta. |
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment