¿Os gusta cómo estoy decorando esta página del Ministerio de Hacienda?
🔗 pap.hacienda.gob.es/VisorXBRL/pagM…
🔗 pap.hacienda.gob.es/VisorXBRL/pagM…
Para los que no queráis verlo en el portal de Hacienda, os lo he subido al portal del Ayuntamiento de Santander 🤣.
ftcontratacion.santander.es/f.php?h=3LXNkX…
ftcontratacion.santander.es/f.php?h=3LXNkX…
Por cierto, este *épico* vídeo de 1996 es más profético que Los Simpson: habla de «el buen tanto por ciento» que «se lleva Jordi Pujol» y este estribillo no ha visto par desde el mester de juglaría: «Vamos compañeros, que hay que cotizar, que Rodrigo Rato tiene que cobrar». 
¡Hacienda acaba de corregir la vulnerabilidad! Hora y media han tardado solamente. Medalla para ellos: 🥇. A ver ahora el Ayuntamiento de Santander cuánto tarda… 🤣
Voy a acabar en el maletero de un Dacia.
Voy a acabar en el maletero de un Dacia.
He sido demasiado impaciente… Tenía que haber incrustado el vídeo paródico en el portal de Hacienda tras subirlo al portal de Santander y no antes jajajaja… así en un mismo acto hubiera hermanado dos instituciones públicas a través de dos brechas de seguridad diferentes. 🤣🤣🤣
¡Que la fiesta no pare!
https://www.pap.hacienda.gob.es/sitios/pap/es-ES/Paginas/Busqueda.aspx?k="><svg/onload=window.location='https://www.biografiasyvidas.com/biografia/f/fotos/fary.jpg'>"
https://www.pap.hacienda.gob.es/sitios/pap/es-ES/Paginas/Busqueda.aspx?k="><svg/onload=window.location='https://www.biografiasyvidas.com/biografia/f/fotos/fary.jpg'>"
https://twitter.com/4st1nus/status/1494292809062531074?s=20&t=WRw_3ZC_rxITeWbtsuSrhQ
Para los que no se están enterando de nada… 🤣. Encontré una vulnerabilidad en el visor XBRL del Ministerio de Hacienda y la utilicé para mostrar este vídeo paródico:
Hacienda lo ha resuelto súper rápido (bueno, más que resolverlo parece que han desactivado el visor XBRL vulnerable). Pero hay otra vulnerabilidad similar en el buscador de la Intervención General de la Administración del Estado. Esta última aún está vigente.
Por otro lado, también por casualidad encontré que en la herramienta de descarga de pliegos de contratación del Ayuntamiento de Santander cualquiera puede cargar cualquiera cosa… Así que he probado a cargar el vídeo allí… Y ha funcionado 😅.
Se trata de vulnerabilidades o problemas de seguridad con los que es extremadamente difícil, quizá imposible, robar datos o cometer delitos en un lapso breve de tiempo. Por eso lo he hecho público aquí, y Hacienda ha reaccionado rápidamente. (Y el ayuntamiento estará en ello…)
Hace no tanto encontré un problema bastante más grave en el portal de una compañía aseguradora nacional. Logré descargarme pólizas de vida, cuentas bancarias, domicilios… Evidentemente lo comuniqué a la empresa ese mismo día. Lo resolvieron muy rápido y me dieron las gracias.
Y, lógicamente, con aquello no hice chanza ni lo conté por aquí. Lo que he compartido hoy es divertido, y no hay datos personales afectados: el visor XBRL de Hacienda es un instrumento para visualizar las cuentas PÚBLICAS de las empresas públicas. Son datos públicos.
EOF.
EOF.
¡Aaaggh! La plataforma de Euskadi también tiene lo suyo. Basta teclear esto en el campo «texto»:
<iframe width="100%" height="640" src="https://www.youtube-nocookie.com/embed/C1PsVS27QOo" />
¿Se puede pasar eso por HTTP GET y hacer phishing?
contratacion.euskadi.eus/w32-kperoc/es/…
<iframe width="100%" height="640" src="https://www.youtube-nocookie.com/embed/C1PsVS27QOo" />
¿Se puede pasar eso por HTTP GET y hacer phishing?
contratacion.euskadi.eus/w32-kperoc/es/…
• • •
Missing some Tweet in this thread? You can try to
force a refresh
