Exposición de información en el editor de comentarios de Forocoches

Se ha coor­di­na­do a tra­vés de INCIBE la di­vul­ga­ción de un fallo de se­gu­ri­dad ca­li­fi­ca­do como de alta gra­ve­dad que se lo­ca­li­za en el com­po­nen­te en­car­ga­do de la ela­bo­ra­ción y mo­di­fi­ca­ción de co­men­ta­rios en Fo­ro­co­ches. El ha­llaz­go de esta de­bi­li­dad fue rea­li­za­do por Mi­guel Ji­mé­nez Cá­ma­ra.

A este pro­ble­ma se le han asig­na­do iden­ti­fi­ca­do­res téc­ni­cos es­pe­cí­fi­cos que in­clu­yen una pun­tua­ción base de se­ve­ri­dad en su ver­sión co­rres­pon­dien­te, un vec­tor de­ter­mi­na­do y una cla­si­fi­ca­ción de tipo de vul­ne­ra­bi­li­dad. Por su parte, el per­so­nal res­pon­sa­ble de la pla­ta­for­ma de Fo­ro­co­ches ya ha apli­ca­do la so­lu­ción co­rres­pon­dien­te para co­rre­gir el fallo.

El fallo de ex­po­si­ción de datos da la opor­tu­ni­dad a un ata­can­te de ac­ce­der a datos de usua­rios sin au­to­ri­za­ción. Esto se logra al co­lo­car una ima­gen con una di­rec­ción web ex­ter­na de ca­rác­ter ma­li­cio­so en un co­men­ta­rio, de modo que cuan­do la per­so­na afec­ta­da ob­ser­va la con­ver­sa­ción, su na­ve­ga­dor efec­túa de ma­ne­ra au­to­má­ti­ca una so­li­ci­tud al ser­vi­dor del ata­can­te, per­mi­tien­do la re­co­lec­ción de me­ta­da­tos y de­ta­lles de co­ne­xión que afec­tan la pri­va­ci­dad del usua­rio.