(Blind) Stored XSS on earth.google.com
Vulnerabilidad XSS almacenada en Google Earth mediante la carga de archivos KMZ que permitía la ejecución de scripts arbitrarios.
Background
Google Earth es una aplicación web que permite la visualización geográfica y la carga de archivos KMZ/KML con datos geoespaciales.
Description
Un fallo de cross-site scripting almacenado en Google Earth permite a los atacantes inyectar código malicioso a través de la carga de archivos KMZ. La vulnerabilidad persiste en la aplicación, permitiendo la ejecución de scripts arbitrarios en los navegadores de las víctimas.
Business impact
Un atacante puede ejecutar código HTML o script arbitrario en el navegador del usuario objetivo, lo que puede aprovecharse para robar información sensible como credenciales de usuario y datos personales.
Systems affected
Aplicación web earth.google.com
Solution
Validación adecuada de inputs.
Disclosure timeline
References
The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.
Compañía con sede en España y Colombia, especializada en auditoría de aplicaciones web, seguridad de red, test de intrusión e implantación y evaluación de cumplimiento. Nuestros clientes incluyen algunas de las mayores compañías de finanzas, telecomunicaciones, seguros y TIC. Proveedor independiente de fabricante, con experiencia profunda desde 2001. Nuestro esfuerzo en I+D incluye investigación de vulnerabilidades, colaboración en proyectos abiertos de seguridad, whitepapers y participación en eventos del sector.
¿Quieres que revisemos tu producto?
Contacta con nosotros¿Necesitas una auditoría de seguridad?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.