Post para reportar de forma pública una vulnerabilidad de XSS o SQLinjection en un sitio web que no use software distribuido (es decir, que su código no sea accesible).
En caso de que sea software distribuido se puede crear un nuevo tema describiendo la vulnerabilidad.
Solo se permite la publicación de esta información en este tema, y no se puede crear un tema individual reportando este tipo de vulnerabilidades, en caso de hacerlo este será borrado.
El formato es el siguiente (ejemplo):
Sitio web: http://www.google.com/Descubridor: sirdarckcat
URL del aviso: http://sirdarckcat.blogspot.com/2007/10/vulns-of-google-that-where-and-are-not.htmlFecha de descubrimiento: 27 de Julio del 2007
Fecha de notificación: 27 de Julio del 2007
Fecha de publicación: 13 de Octubre del 2007
Arreglado : Si, desde el 4 de Agosto del 2007
Información adicional: http://www.google.com/gwt/mdp/x/en/detect/1?manually=true&brand=sirdackcat&model=sirdarckcat.net%3Cscript%3Ealert(document.cookie);%3C/script%3E
Es importante notar que los siguientes campos son obligatorios:
Sitio web,
URL del aviso,
Descubridor,
Información adicionalSinembargo Descubridor puede quedar como Anónimo.
Información adicional deberá contener la dirección de enlace al PoC o a una captura de pantalla.
En caso de que sea un enlace este deberá estar entre etiquetas [
code][
/code].
Además siguiendo con la política de disclosure (ver
reglas), solo se aceptarán PoCs que:
En los foros públicos, la publicación de vulnerabilidades en sitios Web específicos, esta permitida, si y sólo si: ésta tiene un pagerank igual o superior a 4, fue publicada en otro lugar previamente, y el enlace se mantenga firme con lo estipulado en la sección II.A.2.b. En caso de que la vulnerabilidad sea de un software distribuido, se podrá describir la vulnerabilidad en el foro correspondiente. Sin embargo, en ese caso, esta prohibido colocar sitios Web vulnerables de terceros.
Es decir, URL del aviso debe ser una URL externa al foro, y es obligatoria (a menos que la vulnerabilidad ya haya sido arreglada).Si no tienen un blog donde publicar estas vulnerabilidades, o les da flojera hacerlo, les recomiendo http://txt.io/ es rapido y sencillo. Pueden publicar exactamente lo que pusieron aqui en el foro, pero es importante que tengamos una fuente a donde enlazar el descubrimiento de la vulnerabilidad, para evitar problemas con los sitios web.El código
bbcode del formato es:
[b]Sitio web: [/b]
[b]Descubridor: [/b]
[b]URL del aviso: [/b]
[b]Fecha de descubrimiento: [/b]
[b]Fecha de notificación: [/b]
[b]Fecha de publicación: [/b]
[b]Arreglado: [/b]
[b]Información adicional: [/b]
[code][/code]
Fuera de esto, comentarios sobre las vulnerabilidades aqui comentadas deberán estar en otro post.
Esto se deberá hacer "citando" el mensaje en cuestión en un tema nuevo.
Si el comentario es de pertinencia solo al autor del mensaje, este se deberá mandar por MP, y no en un tema nuevo, de lo contrario será borrado sin aviso.
Es todo! Gracias
Saludos!!
Mostrar Temas
