Cross-Site Scripting en la aplicación web de YouMind

INCIBE ha coor­di­na­do la di­vul­ga­ción de un fallo de se­gu­ri­dad de gra­ve­dad media pre­sen­te en el en­torno web de You­Mind, el cual fun­cio­na como un es­pa­cio en­fo­ca­do en el es­tu­dio y la crea­ción me­dian­te in­te­li­gen­cia ar­ti­fi­cial. El ha­llaz­go de esta de­bi­li­dad fue rea­li­za­do por Mi­guel Ji­mé­nez Cá­ma­ra.

El pro­ble­ma iden­ti­fi­ca­do ha re­ci­bi­do una co­di­fi­ca­ción es­pe­cí­fi­ca y mé­tri­cas téc­ni­cas que re­fle­jan su im­pac­to. Hasta el mo­men­to ac­tual, no se ha dado a co­no­cer nin­gu­na so­lu­ción para esta si­tua­ción.

La vul­ne­ra­bi­li­dad con­sis­te en un fallo de tipo Cross-Site Scrip­ting lo­ca­li­za­do en el punto des­ti­na­do a la ac­tua­li­za­ción del ava­tar den­tro del por­tal, es­pe­cí­fi­ca­men­te al con­fi­gu­rar la ima­gen de per­fil uti­li­zan­do una di­rec­ción web ar­bi­tra­ria. Esta falla se ori­gi­na por la au­sen­cia de va­li­da­ción y lim­pie­za ade­cua­da en los ar­chi­vos SVG cuan­do se car­gan con có­di­go Ja­vaS­cript in­crus­ta­do, de modo que el ar­chi­vo es en­tre­ga­do por la red de en­tre­ga de con­te­ni­do (CDN) y, al ac­ce­der di­rec­ta­men­te a su di­rec­ción, el script se eje­cu­ta den­tro del do­mi­nio de dicha CDN.