Resumen
PortSwigger tiene en https://portswigger.net/burp/dast/trial un formulario, "Request a tailored demo", para pedir una prueba de Burp Suite DAST. Al enviarlo, la web manda un correo de confirmación a la dirección indicada, y en ese correo incluye lo que se escribió en el campo "First Name".
El problema es que ese valor se metía en el cuerpo del correo sin sanear. Si el nombre contenía etiquetas HTML, el cliente de correo del destinatario las mostraba como HTML: titulares, enlaces, lo que quisiera el atacante. Y como el correo de confirmación va a la dirección que se escribe en el propio formulario, el atacante podía elegir a quién llegaba.
El investigador zorixu lo reportó el 16 de febrero de 2026. El programa lo calificó de severidad baja, lo dio por resuelto y pagó una recompensa (el importe no es público). El reporte se divulgó el 26 de febrero de 2026.
Pasos de reproducción
- Abrir
https://portswigger.net/burp/dast/trial. - Localizar el formulario "Request a tailored demo".
- Rellenar todos los campos obligatorios con datos normales.
- En el campo "First Name", escribir este payload:
"<h1><a href="https://zorixu.com">Click here for exclusive offers</a></h1>- En el campo de correo, poner la dirección de la víctima.
- Enviar el formulario.
- Abrir el buzón de la víctima y buscar el correo de confirmación.
- Comprobar que el payload no aparece como texto: el cliente de correo lo interpreta como HTML y muestra un titular con el enlace "Click here for exclusive offers".
El investigador adjuntó capturas del formulario con el payload y del correo recibido; no son públicas.
Impacto
Un atacante podía hacer que los servidores de correo legítimos de PortSwigger enviaran a la dirección que él eligiera un mensaje con el HTML que quisiera. Al controlar lo que se ve en el cuerpo de un correo auténtico de PortSwigger, el destinatario tiene motivos para fiarse, lo que lo convierte en una buena base para phishing: por ejemplo, un enlace llamativo a una web del atacante dentro de un correo oficial.
Remediación
El reporte no detalla cómo se corrigió; solo consta que el fallo está resuelto.
Qué aprender de este caso
- Los correos transaccionales (confirmaciones, bienvenidas, "hemos recibido tu solicitud") son un sitio clásico para este fallo: revisa qué campos del formulario acaban en la plantilla del correo, sobre todo nombre, apellidos y empresa, y prueba a meter etiquetas como
<h1>o<a>. - Si el formulario manda el correo a la dirección que escribe quien lo rellena, sin verificarla antes, cualquiera puede usarlo para que la empresa envíe su HTML a terceros. Eso es lo que convierte una inyección de HTML en un vector de phishing.
- Al montar la plantilla del correo, los datos del usuario hay que escaparlos para HTML igual que en una página web (o enviarlos solo en la parte de texto plano). Un nombre de pila no necesita contener
<ni>.