[XSS] en el Ministerio de transporte Chile

Bueno de un tiempo a esta parte me he dedicado a buscar vulnerabilidades en webs del gobierno chileno y sus derivados, la verdad es que falta bastante aun en cosa tanto como de seguridad, como de canalizar los reportes, muchas veces no hay un canal de comunicacion expedito y sin tener que rellenar tantos formularios con items obligatorios.
Lo que llama más la atención es que al momento de reportar distintas vulnerabilidades, algunas bastante importantes, estas no sean fixeadas ; en las cuales evidentemente hay acceso a la db haciendo consultas mediante SQLi .

En este caso se trata de un Cross-site scripting en el formulario de atencion de el ministerio de transporte
podemos visualizarlo en el siguiente link.
Prueba concepto

Imagen del xss:

Edito:  Agrego otro mas xss del mismo sitio  Aqui

Saludos.

[MiniDataLeak] Sitio Mathiu.cl , lista muestra usuarios suscritos.

Ayer mientras dorkeaba, me encontré con esta lista, mediante unas pruebas simples, se concluyó que la lista de correos eran de quienes se suscribian . Para quienes no lo conozcan mathiu es un personaje de aparece en morande con compañia, humorista. parte de el grupo los 4 cuartos.

Sitio principal: Main
Lista de email: emails.txt

[Xss] en el Website de Teleton.cl

El dia  07 de octubre de este año 2011, reporté a Teletón sobre este Xss , por el cual tuve una buena respuesta, pero como era de esperar sólo se quedo en eso y nunca fue fixeado.
La vulnerabilidad ha sido reportada también ha Secureless.org

Pequeño iframe de prueba:

Hasta el dia de hoy no ha sido fixeado.
Decidi publicarlo, saludos.

Banco Chile con Xss al momento de donar para la Teletón.

Estuve un momento revisando las formas de donaciones para la teletón, y nos encontramos con estas secciones en la pagina del Banco Chile.

Nos dirigiremos tanto a:  Clientes de otros bancos -> Tarjeta de Crédito
                                      Extranjeros-> Tarjeta de Crédito.

Y se nos presenta el siguiente formulario:

[+] y lo rellenamos:
[+] Aporte a nombre de:  <script>alert(/XSS/)</script>
[+]Numero tarjeta : rellenamos con ceros como Prueba de concepto.
[+] Donacion: 1000
Y aceptamos:

Vemos como se produce el Xss:

En donaciones de extranjeros haremos lo mismo pero capturando las cabezeras :

variables afectadas:
nombre=
mesg_e=

[+]Finalmente dejo el link de la prueba de concepto:

Prueba variable nombre


Saludos.
@Shinee_