Chat de Tuenti tenía un fallo que permitía robar cuentas

El chat de Tuenti contenía un fallo informático que permitía a un atacante colocar enlaces malintencionados en el texto de la conversación. Si la víctima hacía click en el enlace podían robarle el inicio de sesión de Tuenti o realizaba cualquier otra acción peligrosa.

Dando detalles técnicos, se trataba de un bug XSS en la función window.open() del atributo onclick , ya que si en la dirección del enlace que se escribía se insertaba alguna comilla simple, permitía añadir código javascript que llevase a cabo el ataque deseado. Un ejemplo de enlace que utiliza este fallo puede ser http://cualquiertexto′);alert(′ROBANDO_CUENTA_TUENTI
Este enlace anterior permitía mostrar una ventana de alerta con el texto «ROBANDO CUENTA TUENTI»

El fallo fue notificado a Tuenti, así que si has hecho click en algún enlace sospechoso en los últimos días te recomendamos que procedas a cambiar tu clave de Tuenti.  Se puede leer más información en el foro del Hacker