Wally se pasa a Ferrari

Hace unos dias me llegó un correo con una promoción de la tienda online de Ferrari y me di cuenta se puede hacer un XSS en el buscador de dicha tienda, así que me puse a buscar a Wally y ya veis, no tardé en encontrarlo, se estaba probando una camiseta de Alonso...

En esta ocasión el parámetro de búsqueda no forma parte de la url sino que el formulario se envia por post pero eso realmente no es problema ya que podemos crear una página con el formulario y el script manipulado y enviarlo automáticamente por medio de javascript.

Esto hace que al visualizarse la página de búsqueda se descargue un fichero .js ("oculto" con tinyurl) donde se encuentra el código que visualiza la imagen de Wally pero evidentemente se podria poner cualquier cosa en dicho .js, por ejemplo, un formulario falso para loggearse.