Detectan un fallo de seguridade na web de La Voz de Galicia

Dende Chuza! dan conta dun pequeno fallo de seguridade na web de La Voz de Galicia no sistema que permite a visualización de vídeos procedentes do servizo de YouTube. Así, cando a web de La Voz abre unha fiestra cun vídeo, pasa como parámetros para a súa visualización un título e o código de identificación do vídeo en YouTube, o que permite unha serie de maldades que van dende a inxección de javascript ata a simple modificación dun título dun vídeo con fins humorísticos.
O ficheiro que tería as vulnerabilidades comentadas está radicado en http://www.lavozdegalicia.es/videos/videos.jsp e acepta coma parámetros t (o título a presentar) e u (o identificador do video) de xeito que se poden crear ligazóns coma http://www.lavozdegalicia.es/ videos/ videos.jsp?t=BLOGS%20GALEGOS%20NA%20TVG&u=sR6SdBnK5DI pese a que non se publicara nunca o vídeo indicado na web de La Voz.