1. Descripción

   La variable 'login' en ningún momento es verificada, al ser escrito su valor sin ninguna verificación es posible asignar a esta variable código Java Script que se ejecutará en el cliente web.

   Es posible la ejecución de código JavaScript en la página del login, lo que permitiría obtener el usuario y la contraseña.

2. Solución

   No se ha publicado ninguna solución a esta vulnerabilidad.

3. Impacto

   Mediante Ingeniería Social, ejecución de código JavaScript en un cliente web, lo que permitiría obtener información del cliente web que lo ejecuta.

4. Referencias

   http://www.securityfocus.com/bid/24095/info

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Alejandro Nuñez Sandoval (anunez at seguridad dot unam dot mx)
• Vicente Hernández Jiménez (bec_vhernandez at correo dot seguridad dot unam dot mx)