Estas navidades pasadas se me ocurrió regalarle a mi hermana una cuenta Premium de Spotify. Mi idea era que pudiera usarla en el móvil con listas offline. Spotify lo tenía claro y había varios productos disponibles con suscripciones mensuales, semestrales, anuales y toda clase de combinaciones para adquirirlas como regalo.
Como uno tiene el sindrome de la comilla, que cada vez que ve un "file.php?id=1" prueba a meter una comilla para "ver que pasa" o si lees algo en la URL que luego se reproduce en la página, se prueba con un "script", pues encontré muy tontamente un XSS en la generación de la página de regalo.
El mismo día que lo detecté, les envié una notificación del fallo utilizando su formulario web. Generalmente no suelo notificar (y la realidad es que tampoco suelo buscar nada por ahí), porque al final no aporta demasiado y puede darte un disgusto, y más en este caso, que tampoco es crítico: no es almacenado, ni está dentro de la parte privada de la web.
Como me hizo gracia el asunto, puse un tweet con la url que contenía el fallo:
https://www.spotify.com/es/get-spoti...om&duration=69
Ahí quedo la cosa. No volví a saber de ellos, ni ellos de mí. Lo más destacable es que a mi hermana le gustó el regalo y aún de vez en cuando me comenta que está contenta con el servicio :-)
Pero el otro día me llegó un correo agradeciéndome el haberlo reportado. Tan solo 4 meses después y justo ahora, que están calentitos cuando les han insertado malware en su publicidad.
Año 2011, seguimos igual que cuando empezamos. La seguridad solo cuando ocurre algo y eso que ya deberían haber aprendido la lección en marzo del 2009, cuando tuvo un fallo mucho mayor.
Me pregunto yo si será tan costoso tener una cuenta de correo electrónico donde se puedan lanzar notificaciones y priorizarlas frente a un formulario que tendrá 300 consultas al día.
Y me sigo preguntando si no se ejecutan ni tan si quiera herramientas automáticas de detección de vulnerabilidades antes de pasar algo a producción. ¡¡Qué las hay gratis!!
