XSS - Cuentas de Sistema Colonias Reynosa

Son las 8:12 p.m. y estoy pensando aun en el supuesto ataque que hará Anonymous a Facebook, pero bueno, ya creo que si se pasaron con esa, necesitan un regimiento para tumbar semejante monstruo... en fin, sera entretenido ver el desenlace xD...

continuando...

Quiero empezar publicando mis anteriores BugTracks que también encuentran en SIE-Group / BugTrack.

Este Bug track lo titule: Cuentas del sistema de colonias Intranet reynosa.

Este bug se basa principalmente en XSS que afecta directamente al login (http://intranet.reynosa.gob.mx/colcalles/login.php), al poner un user y password al azar, el desarrollador NO toma en cuenta que la variable donde esta guardando el "username" puede ser inyectada, y esto abre paso a poder inyectar código....

Lo curioso del caso, es que la variable solo la protege al momento de comparar el usuario y clave en la base de datos, mas no al momento de imprimirla en pantalla. Semejante XSS nos permite hacer un poco de ingeniería social para robar la sesión del Administrador (o alguna cuenta potencial), claro.. haciéndolo con un CSRF.

Esta vulnerabilidad fue notificada al personal de IT, pero jamas hicieron caso del correo, vaya, jamas respondieron ni mostraron interes...