Cross-Site Scripting reflejado en el software IsMyGym de Zuinq Studio

Se ha pu­bli­ca­do una vul­ne­ra­bi­li­dad de se­ve­ri­dad media que afec­ta al soft­wa­re de ges­tión de cen­tros de­por­ti­vos, gim­na­sios y en­tre­na­do­res co­no­ci­do como IsMyGym, de­sa­rro­lla­do por Zuinq Stu­dio. El fallo de se­gu­ri­dad fue en­con­tra­do por un in­ves­ti­ga­dor y su di­vul­ga­ción ha sido coor­di­na­da por INCIBE, im­pac­tan­do a todas las ver­sio­nes del pro­gra­ma an­te­rio­res a la ac­tua­li­za­ción se­ña­la­da.

El fallo ha re­ci­bi­do una iden­ti­fi­ca­ción ofi­cial y una ca­li­fi­ca­ción de gra­ve­dad es­pe­cí­fi­ca, ade­más de cla­si­fi­car­se den­tro de un tipo con­cre­to de de­bi­li­dad de soft­wa­re. Es­pe­cí­fi­ca­men­te, se trata de un pro­ble­ma de Cross-Site Scrip­ting re­fle­ja­do lo­ca­li­za­do en el end­point de re­ser­vas del pro­gra­ma, donde un pa­rá­me­tro de­ter­mi­na­do se mues­tra en la res­pues­ta del pro­to­co­lo HTTP sin re­ci­bir el fil­tra­do co­rrec­to.

Si un ata­can­te logra ex­plo­tar esta de­fi­cien­cia con éxito, tiene la po­si­bi­li­dad de in­tro­du­cir có­di­go de Ja­vaS­cript ar­bi­tra­rio que ter­mi­na­rá eje­cu­tán­do­se di­rec­ta­men­te en el na­ve­ga­dor web que esté uti­li­zan­do la víc­ti­ma. Por su parte, la or­ga­ni­za­ción de­sa­rro­lla­do­ra ya ha lan­za­do un par­che para co­rre­gir este fallo de se­gu­ri­dad en su ver­sión más re­cien­te.