Mr. Bean

Supongo que todos habréis leído o visto la noticia sobre el supuesto "hackeo" de la web de la presidencia española de la Unión Europea, en la que un "hacker" habría conseguido colar la foto de Mr. Bean. Ya se ha explicado que en realidad nadie se hizo con el control de la web, ni consiguió subir archivo alguno al servidor, sino que en realidad se trataba de la explotación de una vulnerabilidad de Cross Site Scripting (XSS), mediante la cual, al pasar como parámetro a una URL del sitio un código script, este era ejecutado por aquellos que accedían a esa URL (haciendo click en un enlace en un email o un blog, por ejemplo). XSS es obviamente una vulnerabilidad, sobre todo para sitios que suelen recibir ataques de phishing, como bancos o tiendas online, aunque en el caso de esta web era más un problema de credibilidad que de seguridad como tal, ya que se trataba de XSS no persistente en una web en la que la sesión de cada usuario no tiene ningún valor especial, y solo afectaba a quienes accediesen a una URL con código malicioso, al contrario de lo que describieron la mayoría de medios de comunicación (un ejemplo), que daban a entender que afectaba a todos los visitantes de la web.

En cualquier caso, me he tomado la libertad de utilizar el mismo código en la página web de un medio de comunicación que dio la noticia como un "ataque a la web de la presidencia" causado por "un error de principiantes". Mientras no lo arreglen, si hacéis click sobre este enlace de El Mundo (o este de Expansión, por cierto) realizaréis un "ataque" a la web del "líder de información en español" causado por un "error de principiantes":