Los ataques Cross Site Scripting son un tipo de problema de inyección en el que los scripts (programas generalmente pequeños e interpretados) maliciosos son inyectados los sitios que son benignos y confiables. El script malicioso puede tener acceso a las cookies, los tokens de sesión (identificador único generado en el servidor y enviado al cliente para identificar las interacciones entre ambos durante la sesión actual) u otra información sensible contenida en el navegador. Esta vulnerabilidad puede ser usada por los atacantes para eludir controles de acceso, tales como la política del mismo origen.

 

Después de capturar las cabeceras HTTP, el hacker encontró que existe un parámetro llamado "location", que no cuenta con filtro para entradas maliciosas. Como Prueba de Concepto (Poc), el hacker inyectó un código JavaScript, como se muestra en la imagen.