xss

Tindak Lanjut Kerentanan Cross-Site Scripting (XSS) pada Web Pemkab Sampang

Yth. Tim Keamanan Informasi Pemkab Sampang,

Saya ingin menindaklanjuti pesan yang saya kirim sebelumnya terkait temuan kerentanan Cross-Site Scripting (XSS) pada website Pemkab Sampang. Hingga saat ini, saya belum menerima tanggapan mengenai laporan tersebut.

Kerentanan ini memiliki potensi untuk dimanfaatkan oleh pihak tidak bertanggung jawab, yang dapat mengganggu integritas dan keamanan data pengguna. Oleh karena itu, saya percaya bahwa informasi ini perlu ditindaklanjuti dengan segera demi menjaga kepercayaan publik terhadap layanan digital Pemerintah Kabupaten Sampang.

Terima kasih atas perhatian dan kerja sama yang diberikan. Saya menantikan tanggapan dari tim terkait untuk menindak lanjuti masalah ini.


Hormat saya,

Zidhan

Pada Min, 27 Okt 2024 pukul 10.32 Hadi Zidhan <hadizidhan@gmail.com> menulis:

    Assalamualaikum warahmatullahi wabarakatuh.
    Perkenalkan, nama saya Zidhan Hadi Irawan, dan saya ingin melaporkan temuan kerentanan keamanan pada situs web Pemkab Sampang yang mungkin perlu ditinjau lebih lanjut.

    Mohon izin, berdasarkan pengujian yang telah saya lakukan, saya menemukan bahwa situs web Pemkab Sampang mungkin rentan terhadap serangan Cross-Site Scripting (XSS) pada bagian tertentu dari situs yaitu pada bagian form input pencarian atau search yang berada di halaman beranda atau home.

    Kerentanan ini memungkinkan penyerang untuk menyisipkan kode JavaScript atau HTML berbahaya yang dapat dieksekusi pada browser pengguna, sehingga berpotensi mengancam keamanan data dan informasi pengunjung situs. Hal ini dapat berdampak pada pengalaman pengguna serta kredibilitas dan kepercayaan masyarakat terhadap situs resmi Pemkab Sampang.

    Detail Teknis Kerentanan:
    1. Jenis Kerentanan: Cross-Site Scripting (XSS)
    2. URL/Parameter Terpengaruh: https://sampangkab.go.id/
    3. Payload Pengujian: <img src="x" onerror="prompt('Temuan kerentanan situs web Pemkab Sampang [XSS Detected!]')">
    4. Hasil Pengujian: Munculnya pop-up alert atau eksekusi kode JavaScript pada halaman yang terpengaruh.

    Saran Penanganan:
    Untuk memperbaiki dan mencegah eksploitasi kerentanan ini, saya merekomendasikan langkah-langkah sebagai berikut:
    1. Sanitasi dan Validasi Input: Terapkan filter pada setiap input pengguna dan lakukan encoding pada output yang akan ditampilkan di halaman.
    2. Menerapkan mekanisme HTML encoding pada output yang berasal dari input pengguna.
    3. Menerapkan Content Security Policy (CSP): Batasi eksekusi JavaScript hanya dari sumber yang terpercaya dan hindari penggunaan inline JavaScript.

    Saya berharap informasi ini bermanfaat bagi tim IT/CSIRT Diskominfo Pemkab Sampang dalam memperkuat keamanan situs web Pemerintah Kabupaten Sampang. Terima kasih atas perhatian dan kerja sama tim IT/CSIRT Diskominfo Pemkab Sampang dalam menjaga keamanan data dan informasi publik.

    Salam hormat,
    Zidhan Hadi Irawan

========================
imel kedua
===============
Assalamualaikum warahmatullahi wabarakatuh.
Perkenalkan, nama saya Zidhan Hadi Irawan, dan saya ingin melaporkan temuan kerentanan keamanan pada situs web Pemkab Sampang yang mungkin perlu ditinjau lebih lanjut.

Mohon izin, berdasarkan pengujian yang telah saya lakukan, saya menemukan bahwa situs web Pemkab Sampang mungkin rentan terhadap serangan Cross-Site Scripting (XSS) pada bagian tertentu dari situs yaitu pada bagian form input pencarian atau search yang berada di halaman beranda atau home.

Kerentanan ini memungkinkan penyerang untuk menyisipkan kode JavaScript atau HTML berbahaya yang dapat dieksekusi pada browser pengguna, sehingga berpotensi mengancam keamanan data dan informasi pengunjung situs. Hal ini dapat berdampak pada pengalaman pengguna serta kredibilitas dan kepercayaan masyarakat terhadap situs resmi Pemkab Sampang.

Detail Teknis Kerentanan:
1. Jenis Kerentanan: Cross-Site Scripting (XSS)
2. URL/Parameter Terpengaruh: https://sampangkab.go.id/
3. Payload Pengujian: <img src="x" onerror="prompt('Temuan kerentanan situs web Pemkab Sampang [XSS Detected!]')">
4. Hasil Pengujian: Munculnya pop-up alert atau eksekusi kode JavaScript pada halaman yang terpengaruh.

Saran Penanganan:
Untuk memperbaiki dan mencegah eksploitasi kerentanan ini, saya merekomendasikan langkah-langkah sebagai berikut:
1. Sanitasi dan Validasi Input: Terapkan filter pada setiap input pengguna dan lakukan encoding pada output yang akan ditampilkan di halaman.
2. Menerapkan mekanisme HTML encoding pada output yang berasal dari input pengguna.
3. Menerapkan Content Security Policy (CSP): Batasi eksekusi JavaScript hanya dari sumber yang terpercaya dan hindari penggunaan inline JavaScript.

Saya berharap informasi ini bermanfaat bagi tim IT/CSIRT Diskominfo Pemkab Sampang dalam memperkuat keamanan situs web Pemerintah Kabupaten Sampang. Terima kasih atas perhatian dan kerja sama tim IT/CSIRT Diskominfo Pemkab Sampang dalam menjaga keamanan data dan informasi publik.

Salam hormat,
Zidhan Hadi Irawan