El pasado viernes realizamos junto a Camilo Galdos el episodio 6 de DragonJAR TV, que tenía como tema principal los fallos de tipo XSS, en el @SeguridadBlanca nos realizó un recorrido por los tipos de fallos Cross-site scripting, como ganar dinero con este tipo de fallos y finalmente publicaba su herramienta DomKingKong, que permite encontrar fácilmente fallos de seguridad del tipo DOM XSS. 
El episodio se realizó con muy buena acogida, ya ha sido editado y está listo para que lo disfruten:
Qué fue este episodio
En diciembre de 2013, la comunidad DragonJAR transmitió el sexto episodio de DragonJAR TV junto a Camilo Galdos (@SeguridadBlanca). El tema central fueron los fallos de tipo Cross-Site Scripting (XSS): un recorrido por sus variantes, las formas en que algunos investigadores los monetizaban a través de programas de recompensas, y la presentación en beta de la herramienta DomKingKong, desarrollada para encontrar vulnerabilidades de tipo DOM XSS mediante análisis de expresiones regulares.
Tabla de Contenido
El episodio se emitió con buena acogida y quedó archivado en video como parte de la memoria de la comunidad. Su valor hoy es histórico: muestra el nivel técnico que ya se manejaba en la comunidad hispanohablante de seguridad informática en 2013 y la tradición de compartir herramientas y conocimiento de forma abierta.
Y la Beta del DomKingKong con su nueva imagen la encuentran en: https://github.com/Dedal0/DomKingKong 
El XSS hoy: una década después, sigue vigente
El tema que ocupó este episodio no ha envejecido. Más de una década después, la inyección de código —categoría que incluye el Cross-Site Scripting— continúa presente en el OWASP Top 10 (edición 2025), donde se mantiene como una de las vulnerabilidades web más comunes: aparece con mucha frecuencia en las aplicaciones evaluadas, aunque con un impacto medio menor que otras categorías de inyección.
El DOM XSS, la variante específica que DomKingKong buscaba detectar, sigue siendo una de las formas más sutiles del fallo, porque el código malicioso se ejecuta en el navegador del usuario sin pasar necesariamente por el servidor. El repositorio de DomKingKong sigue disponible públicamente en GitHub (github.com/Dedal0/DomKingKong) como pieza de archivo, pero los profesionales actuales suelen apoyarse en escáneres modernos y revisiones de código con análisis estático y dinámico.
La conclusión que deja el episodio es la misma que vale hoy: las vulnerabilidades web más persistentes no se eliminan con parches puntuales, sino con pruebas sistemáticas y desarrollo seguro desde el diseño.
¿Su aplicación web resistiría un XSS?
El XSS lleva más de una década entre las vulnerabilidades web más reportadas, y sigue apareciendo en aplicaciones de todos los tamaños. Una prueba de penetración a aplicaciones web revela estos fallos —incluidos los sutiles, como el DOM XSS— antes de que los encuentre un atacante.
DragonJAR evalúa la seguridad de sus aplicaciones con metodología profesional: servicios de seguridad informática de DragonJAR.
