capella / uspavalia Goto Github PK

É possível, creio que eu todos os campos de input do site, injetar código javascript.

Acredito que a privacidade não está tão boa:

1. SHA256 é um algoritmo muito rápido, então pode ser atacado com facilidade. Inclusive já não é usado para armazenamento de senhas há bastante tempo, tendo sido substituído por algoritmos lentos (e.g. bcrypt, scrypt). Também pode ser computado em GPU, o que o torna ainda mais vulnerável. Isso aliado ao fato de que o ID é conhecidamente uma sequencia de por volta de 15 dígitos numéricos, acredito que um ataque brute force é possível.
2. Ainda que se escolha um algoritmo mais lento e que não possa ser computado nas GPUs modernas, um ataque por rainbow table ainda é possível (e simples), sendo que essa tabela pode ser construída a partir de perfis participantes de comunidades ligadas à USP e suas faculdades no facebook.

Acredito que a identificação do usuário votante tem que ser um hash lento sobre uma informação não disponível publicamente para resolver esses problemas. Talvez o ID juntamente com o e-mail do usuário no facebook (mas não sei se é informação obrigatória e provavelmente pode mudar).

Ao entrar em uspavalia.com aparece uma sessão de login que antes não aparecia, com o título Sato e Capella 2015.

Ao ver a response no console, o resultado foi esse:

Request URL: https://uspavalia.com/assets/fonts/glyphicons-halflings-regular.woff2
Request Method: GET
Status Code: 404

O sistema para logar no facebook está depreciado e não funciona mais, sendo impossível adicionar novas avaliações.

Os usuários também poderiam se autenticar usando a conta Google, por exemplo.

Eu loguei no site, testei várias páginas, mas não consigo adicionar um novo professor

Nao da para fazer login usando o facebook