[Security Bug] Cross-site Scripting (XSS) Pada Bagian Menu System dan Serial Control

[L3sley99]

Selamat sore,

Saya menemukan bug XSS pada bagian menu System yang terdiri dari bagian :

1. Content,
2. Modules,
3. Librarian & System Users,
4. User Group,
5. System Log dan yang terakhir pada menu Serial Control, bagian Subscription.

Proof of Concept :

1. Masuk ke bagian dashboard admin lalu masuk kedalam menu System dan pilih System Log (sebagai contoh).
   

2. Lalu masukkan salah satu payload xss, sebagai contoh saya menggunakan payload " <script>alert(document.cookie);</script> " kemudian masukkan kedalam kotak pencarian yang berada diatas.

3. Hasilnya :
   

[mucill]

Terima kasih atas informasinya.
Menurut saya sih, kalau sudah login tidak masuk kategori XSS karena semua akses sudah dibuka.
Kecuali hal ini bisa dilakukan tanpa harus login terlebih dahulu.
Demikian.

[agussetyar]

Terima kasih atas informasinya.
Menurut saya sih, kalau sudah login tidak masuk kategori XSS karena semua akses sudah dibuka.
Kecuali hal ini bisa dilakukan tanpa harus login terlebih dahulu.
Demikian.

Menurut saya ini tetap di kategorikan sebagai bug, karena dengan adanya celah pada halaman admin justru akan menimbulkan dampak yang sangat kritikal, jika nantinya cookie pada halaman admin bisa di curi oleh attacker yang menyisipkan malicious script disana.

Ref: https://medium.com/free-code-camp/session-hijacking-and-how-to-stop-it-711e3683d1ac

[slims]

@agussetyar Bisa ditunjukkan proof of concept nya?

[drajathasan]

@slims , kalau saya tangkap dari @agussetyar , xss ini bisa diexplore lagi dengan tindakan yang lebih, jika si user melakukan/menjalankan apa yang dipasang oleh penyerang. Contoh saja cookie yang disebutkan oleh TS, sepele memang tapi bisa jadi dari cookie itu bisa diolah lagi menjadi sarana bypass login si penyerang untuk bisa masuk kedalam sistem, dengan cara social enginering. Penyerang memancing korban untuk login lalu mengarahkannya kepada celah yang yang ia tentukan.

[zetc0de]

Saya sepakat dengan @agussetyar , celah ini termasuk Authenticated Self XSS, karena celah ini hanya bisa diakses menggunakan hak akses/auth. Walaupun tingkat resiko celah ini rendah, akan menjadi medium bahkan critical jika dicombine dengan CSRF, apalagi tidak diproteksi dengan httpOnly dan Secure Cookie Flag :)