xss2

Halo, Nama saya Muhammad Fazriansyah, dan saya menemukan kerentanan Cross-Site Scripting (XSS) pada domain sampangkab.go.id
Vulnerability:

Cross-Site Scripting (XSS)
Affected URL:

    https://sampangkab.go.id/e-layanan/index/

Severity:

High
Description:

Kerentanan XSS ini terjadi pada fitur Kontak di halaman e-Layanan. Ketika saya memasukkan payload JavaScript tertentu pada form "Hubungi Kami" di kolom nama, email, atau pesan, seperti:

    "><img src=x onerror=prompt(document.domain)>

Setelah pengiriman form, skrip JavaScript ini dieksekusi oleh browser. Ini menunjukkan bahwa input pengguna tidak divalidasi atau di-sanitize dengan benar sebelum ditampilkan di halaman, memungkinkan eksekusi skrip berbahaya yang dapat dipicu oleh pengguna yang mengunjungi halaman tersebut.
Impact:

Kerentanan ini dapat dieksploitasi oleh penyerang untuk melakukan beberapa jenis serangan, termasuk:

    Pencurian cookie pengguna dan session hijacking jika pengguna terautentikasi.
    Phishing atau pengalihan pengguna ke situs berbahaya.
    Menampilkan konten berbahaya yang dapat mengganggu pengalaman pengguna dan menurunkan kredibilitas situs.
    Pengguna yang mengunjungi halaman tersebut tanpa sadar dapat terinfeksi atau diarahkan ke situs jahat.

Remediation:

    Lakukan input validation dan output encoding pada semua parameter input pengguna, terutama pada form Hubungi Kami.
    Sanitize input dengan benar untuk mencegah karakter-karakter berbahaya seperti <, >, dan atribut onerror dari dieksekusi oleh browser.
    Implementasikan Content Security Policy (CSP) untuk membatasi eksekusi skrip yang tidak tepercaya.
    Escaping karakter khusus yang dimasukkan pengguna untuk mencegah eksekusi kode berbahaya dalam HTML atau JavaScript.

References:

    OWASP XSS Prevention Cheat Sheet
    Cross-Site Scripting (XSS) Explained

Proof of Concept:

    Akses halaman berikut:
        https://sampangkab.go.id/e-layanan/index/

    Pada form Kontak, masukkan payload berikut ke kolom nama, email, atau pesan:

        "><img src=x onerror=prompt(document.domain)>

    Setelah mengirimkan form, halaman akan memunculkan prompt JavaScript yang menampilkan document.domain. Ini menunjukkan bahwa skrip berbahaya dijalankan di browser pengguna, yang mengindikasikan adanya kerentanannya.

    Hal ini juga berarti setiap pengguna lain yang mengakses halaman tersebut dapat terpengaruh oleh serangan XSS yang sama.