Avisos de seguridad

Acceso público a ficheros internos del sitio web reservaentradas.com

Un investigador de seguridad independiente nos notificó, a través de INCIBE-CERT, que la configuración del servidor web de reservaentradas.com permitía el acceso a determinados ficheros internos del sitio, entre ellos el repositorio del código fuente y un fichero de configuración del entorno de despliegue, así como al panel de administración. Entre el código figuraban también claves de componentes antiguos, retirados del servicio y sin uso en la actualidad.

Alcance: el investigador se limitó a comprobar que los ficheros eran accesibles, sin hacer uso de ellos. No se ha detectado ningún acceso no autorizado ni impacto sobre los datos de clientes o recintos. La incidencia se comunicó a INCIBE y se ha gestionado en coordinación con el organismo.

Acciones tomadas:

• Restringido el acceso al repositorio de código fuente, que ya no es accesible desde Internet.
• Retirado el fichero de configuración. Las credenciales de despliegue han sido renovadas y el acceso queda limitado a direcciones IP autorizadas.
• Eliminado el acceso público al panel de administración.
• Verificado mediante análisis del código que las claves presentes en componentes antiguos no están en uso y no tienen ningún efecto sobre el sistema.

Actualización de la plataforma: a finales de septiembre de 2026 el servidor PHP actual será retirado del servicio y toda su funcionalidad quedará integrada en un nuevo servidor completamente actualizado, desarrollado con la misma tecnología (Flutter) que emplean nuestras nuevas aplicaciones web. Con este paso se dará por cerrada la incidencia.

Cross-Site Scripting (XSS) reflejado en el proceso de compra de reservaentradas.com

Un parámetro de la URL del proceso de selección de sesión se utilizaba sin validación en el código de la página, lo que permitía a un atacante construir un enlace que ejecutara código JavaScript en el navegador de la víctima, en el contexto del dominio. La explotación requiere que el usuario acceda a un enlace manipulado; no afecta a los datos almacenados ni al servidor.

Solución: corregido el 23/06/2026. Se ha implantado validación estricta de la entrada (lista blanca de valores permitidos y conversión explícita de tipo) y escape contextual en la salida, siguiendo las recomendaciones de OWASP. Se ha verificado que los vectores de ataque reportados quedan neutralizados. La corrección no requiere ninguna acción por parte de los recintos ni de los usuarios.