Mientras buscaba errores, llegué a un sitio web que muestra mi contraseña en texto sin formato cuando inspecciono el elemento cuando inicio sesión (no modifiqué cosas como cambiar el atributo de tipo al texto). Puedo ver claramente mi contraseña que acabo de escribir sin hacer nada.
¿Cómo puedo mostrar su impacto a la empresa? ¿Cómo puede un atacante abusar de esta falla?
El atacante no puede abusar de esta falla más de lo que ya puede hacer sin la falla.
Es probable que tenga la impresión de que los sitios web (y los navegadores web) que no le permiten ver la contraseña real en el HTML están protegidos contra un atacante que se pondría en contacto con su computadora al completar el formulario de inicio de sesión. Esto no es cierto ya que:
Por lo tanto, difícilmente se puede considerar una falla.
Lea otras preguntas en las etiquetas web-application penetration-test