Solo lectura

Google Chrome - Foro de ayuda

Esta página web es un archivo de los hilos antiguos de los foros de Google. Más información
Google Chrome - Foro de ayuda > Bug xss?

Bug xss?

Gustavo PB
23/08/16 14:36

Hola buena tarde

no se si sea aqui la seccion indicada, tampoco se si sea el unico que a encontrado esta vulnerabilidad en google traductor, pero  quisiera reportarlo para que otros usuarios no agan mal uso de el, les adjunto una captura que hice en el momento..Saludos
PD.En espera de su pronta respuesta

Respuestas (3)

avm99963
24/08/16 9:29
¡Hola Gustavo PB!

Sintiéndolo mucho, lo que nos comentas no es una vulnerabilidad. Aunque es cierto que se puede ejecutar código JS en el dominio googleusercontent.com tal como nos demuestras, esto no es un problema de seguridad ya que googleusercontent.com es un dominio aislado de Google donde se puede ejecutar código JS de usuarios. Te recomiendo que te leas la siguiente información donde se explica más detalladamente por qué (la he traducido de esta página):

XSS en dominios de caja de arena

Google usa una serie de dominios de caja de arena para hospedar con seguridad contenido generado por los usuarios. Algunas de estas cajas de arena están hechas específicamente para aislar código HTML, Javascript o applets de Java subidos por los usuarios y se aseguran que no puedan acceder a la información del usuario.

Por esta razón, recomendamos usar alert(document.domain) en vez de alert(1) como tu código para comprobar vulnerabilidades XSS. En particular, si ves que se ejecuta el script en cualquier de los subdominios de esta lista...:
...tu informe seguramente no cualificará, a no ser que puedas pensar de un escenario de ataque en el que el código inyectado podría ganar acceso a información personal del usuario.

¿Fui de ayuda? Espero tu respuesta por aquí ;-)

Saludos :-)

Para continuar con la conversación, debes regresar al Foro.
Las respuestas por correo electrónico no llegan  Acceder al hilo
Gustavo PB
24/08/16 16:08
excelente informe!, gracias por la teoria...lo tomare en cuenta.
Saludos
avm99963
25/08/16 14:48
De nada, gracias a ti por informar :D

Para la próxima vez, echa un vistazo a la siguiente página web de Google, que incluye información sobre programas que hay activos para recompensar a los que encuentran vulnerabilidades en servicios de Google. Está en inglés, pero tiene información muy útil y hasta puede que te recompensen si encuentras una vulnerabilidad válida: