Reports
BAJA[LÓGICA DE NEGOCIO]#3279441

Mozilla Add-ons: un homoglifo Unicode permite usar "Mozilla" como nombre visible pese a estar prohibido

El filtro de nombres reservados de addons.allizom.org bloqueaba "Mozilla", pero aceptaba la misma palabra con la "M" sustituida por una letra cheroqui idéntica a la vista, lo que permitía hacerse pasar por la cuenta oficial.

Resumen
Resumen en castellano de un reporte público, no una traducción literal. El código y los comandos se mantienen como en el original.

Resumen

La plataforma de complementos de Firefox, en su entorno addons.allizom.org, tiene una lista de palabras reservadas que no se pueden usar como nombre visible del perfil. "Mozilla" es una de ellas: si un usuario intenta ponérsela, el formulario la rechaza con el mensaje "This display name cannot be used".

El problema es que esa comprobación compara el texto tal cual, sin tener en cuenta caracteres Unicode que se ven igual que las letras latinas (homoglifos). Basta con cambiar la "M" por la letra cheroqui Ꮇ (U+13B7, Cherokee Letter Mo) para que el filtro deje pasar el nombre. En pantalla, el perfil muestra algo indistinguible de "Mozilla".

Es un fallo de validación de entrada (Improper Input Validation, CWE-20) en el campo de nombre visible de la página de edición de perfil. HackerOne lo clasificó con severidad baja; el programa lo dio por resuelto y pagó una recompensa cuyo importe no se ha hecho público. El reporte se envió el 31 de julio de 2025 y se divulgó el 27 de abril de 2026.

Pasos de reproducción

  1. Iniciar sesión con una cuenta cualquiera en https://addons.allizom.org.
  2. Abrir la página de edición del perfil:
https://addons.allizom.org/en-GB/firefox/users/edit
  1. En el campo de nombre visible (Display Name), escribir Mozilla y enviar. El servidor lo rechaza con el error:
This display name cannot be used
  1. Sustituir el valor por esta cadena, en la que la primera letra es U+13B7 en lugar de la "M" latina:
Ꮇozilla
  1. Enviar el formulario. Esta vez el nombre se acepta sin errores.
  2. Visitar el perfil y comprobar que el nombre que se muestra se lee como "Mozilla".

La diferencia entre lo que se bloquea y lo que se acepta está solo en el primer carácter:

- Mozilla   (M = U+004D, rechazado)
+ Ꮇozilla   (Ꮇ = U+13B7, aceptado)

El investigador acompañó el reporte con capturas del nombre bloqueado, de la herramienta usada para generar el homoglifo, del perfil resultante y de cómo se vería una cuenta de phishing con este truco.

Impacto

La lista de nombres reservados existe precisamente para que nadie pueda presentarse como una cuenta oficial. Con este truco, cualquier usuario podía mostrar un perfil que, a ojos de los demás, se llamaba "Mozilla". Según el investigador, eso abre la puerta a:

  • Suplantar la marca y las cuentas oficiales de Mozilla.
  • Aprovechar la confianza que inspira ese nombre para engañar a usuarios y desarrolladores de la comunidad de complementos.
  • Montar campañas de phishing o ingeniería social desde un perfil con apariencia legítima.

El reporte no detalla cómo se corrigió el fallo.