La web de la SGAE tiene otro bug, desde hace unos días me he dado cuenta, que podemos recomendar cualquier web que deseemos, como si viniese recomendada oficialmente por la SGAE.  El mecanismo es sencillo: Por ejemplo,  esta misma noticia

Si pulsamos sobre “Enviar a un amigo” se abrirá un pop-up para rellenar un formulario. La URL por defecto tiene un estilo similar a este http://www.sgae.es/jsp/email-es.jsp?link=http://www.sgae.es/tipology/convoc/item/es/629_672.html&lang=es

Si nos fijamos, después de la palabra ?link=, aparece la URL de la noticia recomendada. Si copiamos toda la URL en una nueva venta y cambiamos la zona del link= tal que así.

http://www.sgae.es/jsp/email-es.jsp?link=http://www.blablabla.com

Estaremos recomendando la web www.blablabla.com, y  al receptor le llegará un mensaje de la dirección pepito@sgae.es (si así lo hemos especificado en el campo “Tu email”). Sí… también se puede enviar en nombre de la SGAE! con su dominio sgae.es

SGAE Sociedad General de Autores y Editores

Pepito le recomienda que visite esta página: http://www.blablabla.com

(c) Copyright Sociedad General de Autores y Editores (SGAE) Fernando VI, 4 28004 Madrid Tel: +34 913 499 550 / 913 499 500

El bug se aprovecha de una vulnerabilidad Cross-Site Scripting (XSS)

PD: No hagáis mal uso de él xD