Muchos ya conoceréis el cliente Tweetdeck, un magnífico cliente para los que nos parece muy limitada la interfaz web de Twitter. Pues bien, Tweetdeck es vulnerable a ataques XSS, y se ha descubierto hoy a raíz de un _tweet_ malicioso.
El problema viene del hecho de que Tweetdeck está escrito en HTML, e interpreta algunos códigos HTML que haya en los tweets. Más concretamente, interpreta lo que haya dentro de etiquetas script y ejecuta el código JavaScript que haya dentro. En el _tweet_ malicioso más distribuido, el código simplemente retuitea el código original y muestra una alerta al usuario. Sin embargo, no es descartable que puedan aparecer _scripts_ con peores intenciones, que distribuyan spam o traten de tomar el control de tu cuenta.
A pesar de que, según @TweetDeck, la vulnerabilidad ya se ha corregido y se aplica saliendo y volviendo a entrar en la aplicación, en muchos casos el problema sigue apareciendo. Finalmente han apagado el servicio de TweetDeck (no aclaran cuáles) mientras resuelven la vulnerabilidad, así que no os sorprendáis si no podéis acceder.
En teoría, los principales afectados son los usuarios de la versión web en Chrome. Sin embargo, en otras versiones también falla: en mi caso, en Tweetdeck de escritorio, he visto la ventana de alerta "XSS in Tweetdeck".
En muchos medios veréis que se recomienda cambiar las contraseñas. Aunque no es una mala práctica, sobre todo si la contraseña es débil o repetida, no debería ser necesario. Si todo se ha hecho bien, desde TweetDeck no se podría acceder a vuestra contraseña, así que bastaría con revocar el acceso a la aplicación si creéis que vuestra cuenta ha podido ser comprometida.
Os mantendremos actualizados con las novedades que haya sobre el tema.
Ver 3 comentarios