• Skip to main content

Naga Cyber Defense

Trusted Security for all of Indonesia

  • Home
  • About
  • Programs
  • Contact
  • Blog
You are here: Home / Archives for XSS

XSS

Bug XSS berbahaya di halaman ‘Tab Baru’ Google Chrome melewati fitur keamanan

November 19, 2021 by Winnie the Pooh

Tim Chromium telah menambal kerentanan skrip lintas situs (XSS) yang memungkinkan penyerang menjalankan kode JavaScript arbitrer di halaman ‘Tab Baru’ Chrome.

Menurut utas diskusi dan bukti konsep di portal bug Chromium, penyerang dapat mengeksploitasi bug dengan mengirimkan file HTML ke korban yang berisi skrip cross-site request forgery (CSRF), yang mengirimkan snippet kode JavaScript berbahaya sebagai permintaan pencarian ke Google.

Saat pengguna membuka file, skrip CSRF berjalan dan kueri disimpan dalam riwayat pencarian browser. Saat berikutnya pengguna membuka Halaman Tab Baru dan mengklik bilah pencarian Google, kode berbahaya akan berjalan.

Yang mengkhawatirkan, jika korban masuk ke akun Google mereka saat membuka file berbahaya, permintaan akan disimpan ke riwayat pencarian akun mereka dan dipicu di perangkat lain tempat akun Google mereka masuk.

Ashish Dhone, peneliti yang menemukan bug tersebut, memiliki rekam jejak berburu bug XSS di aplikasi web dan seluler Google. “Saya ingin menemukan XSS di Chrome, maka perburuan saya dimulai dengan aplikasi desktop Google Chrome,” katanya kepada The Daily Swig.

“Saya sedang mencari fungsionalitas markup HTML di mana XSS dapat dieksekusi. Setelah menghabiskan berjam-jam, entah bagaimana saya menemukan bahwa di halaman Tab Baru, kueri pencarian yang disimpan tidak dibersihkan dan kemudian saya dapat menjalankan [uXSS]”.

Serangan UXSS mengeksploitasi kerentanan sisi klien di browser atau ekstensi browser untuk menghasilkan kondisi XSS dan mengeksekusi kode berbahaya.

Dhone mengambil hadiah bug bounty sebesar $ 1.000 untuk penemuan serta beberapa pelajaran penting tentang keamanan browser. “Selalu periksa fitur dan fungsionalitas di mana markup HTML digunakan – di sinilah sebagian besar serangan XSS dapat ditemukan dan dieksploitasi,” katanya.

Selengkapnya: Portswigger

Tagged With: Chromium, CSRF, Cybersecurity, UXSS, Vulnerability, XSS

Bug XSS di Plugin WordPress SEOPress Memungkinkan Pengambilalihan Situs

August 18, 2021 by Winnie the Pooh

Kerentanan cross-site scripting (XSS) yang tersimpan di plugin SEOPress WordPress dapat memungkinkan penyerang untuk menyuntikkan skrip ke situs web, kata para peneliti.

SEOPress adalah alat pengoptimalan mesin pencari (SEO) yang memungkinkan pemilik situs mengelola metadata SEO, kartu media sosial, pengaturan Iklan Google, dan banyak lagi. Ini diinstal di lebih dari 100.000 situs.

Bug ini (CVE-2021-34641) memungkinkan setiap pengguna yang diautentikasi, seperti pelanggan, untuk memanggil rute REST dengan nonce yang valid, dan untuk memperbarui judul dan deskripsi SEO untuk setiap posting.

“Permissions_callback untuk titik akhir hanya diverifikasi jika pengguna tidak memiliki REST-API yang valid dalam permintaan,” menurut postingan tersebut. “Nonce REST-API yang valid dapat dibuat oleh setiap pengguna yang diautentikasi menggunakan rest-nonce WordPress core AJAX action.”

Bergantung pada apa yang judul dan deskripsi yang diperbarui oleh penyerang, itu akan memungkinkan sejumlah tindakan jahat, hingga dan termasuk pengambilalihan situs secara penuh, kata para peneliti.

Untuk melindungi situs web mereka, pengguna harus meningkatkan ke versi 5.0.4 dari SEOPress.

Kerentanan dalam plugin WordPress tetap cukup umum. Misalnya, pada bulan Juli enam kelemahan kritis diungkapkan yang memengaruhi plugin WordPress Front File Manager versi 17.1 dan 18.2, aktif di lebih dari 2.000 situs web.

Pada bulan Februari, bug keamanan XSS yang belum ditambal dan disimpan ditemukan berpotensi mempengaruhi 50.000 pengguna plugin Contact Form 7 Style.

Selengkapnya: The Threat Post

Tagged With: Bug, Cybersecurity, SEOPress, WordPress Plugin, XSS

Kerentanan XSS ditemukan di editor situs web WYSIWYG yang populer

June 5, 2021 by Winnie the Pooh

Kerentanan skrip lintas situs (XSS) telah ditemukan di editor WYSIWYG yang digunakan oleh setidaknya 30.000 situs web.

Ditemukan oleh konsultan keamanan Bishop Fox Chris Davis dan diungkapkan kepada publik pada hari Rabu, bug, dilacak sebagai CVE-2021-28114, berdampak pada Froala versi 3.2.6 dan sebelumnya.

Froala adalah editor teks kaya HTML What-You-See-Is-What-You-Get (WYSIWYG) ringan untuk pengembang dan pembuat konten.

Wappalyzer memperkirakan bahwa Froala digunakan oleh sekitar 30.000 domain web.

Menurut Bishop Fox, editor WYSIWYG berisi kelemahan keamanan dalam protokol parsing sanitasi HTML-nya, yang memungkinkan penyerang untuk melewati perlindungan XSS yang ada.

Kerentanan dapat dipicu dengan memasukkan muatan JavaScript dalam pengendali peristiwa HTML dalam tag HTML dan MathML tertentu, yang akan menyebabkan pengurai mengubah muatan menjadi perintah JavaScript.

selengkapnya : www.zdnet.com

Tagged With: XSS

Bug XSS yang tersimpan di domain Apple iCloud diungkapkan oleh bug bounty hunter

February 23, 2021 by Winnie the Pooh

Kerentanan cross-site scripting (XSS) yang disimpan di domain iCloud dilaporkan telah ditambal oleh Apple.

Bug bounty hunter dan penetration tester Vishal Bharad mengklaim telah menemukan kelemahan keamanan, yang merupakan masalah XSS yang tersimpan di icloud.com.

Kerentanan stored XSS, juga dikenal sebagai persistent XSS, dapat digunakan untuk menyimpan muatan di server target, menyuntikkan skrip berbahaya ke situs web, dan berpotensi digunakan untuk mencuri cookie, token sesi, dan data browser.

Menurut Bharad, cacat XSS di icloud.com ditemukan di fitur Halaman/Catatan Utama domain iCloud Apple.

Untuk memicu bug, penyerang perlu membuat Halaman baru atau konten Keynote dengan muatan XSS yang dikirimkan ke bidang nama.

Bharad juga menyediakan video Proof-of-Concept (PoC) untuk mendemonstrasikan kerentanan.

Sumber: ZDNet

Tagged With: Apple, Cybersecurity, iCloud, Security, Vulnerability, XSS

Polisi Belanda memposting peringatan ‘ramah’ di forum peretasan

February 18, 2021 by Winnie the Pooh

Polisi Belanda telah memposting pesan “ramah” di dua forum peretasan terbesar saat ini yang memperingatkan penjahat siber bahwa “menjadi tuan rumah infrastruktur kriminal di Belanda adalah ‘lost cause’ (perkara yang pasti kalah).”

Pesan-pesan itu diposting setelah “Operasi Ladybird”, di mana lembaga penegak hukum di beberapa negara turun tangan untuk menjatuhkan Emotet, salah satu botnet terbesar saat ini.

Polisi Belanda mengungkapkan bahwa setelah penghapusan Emotet, petugasnya juga melanjutkan Raid dan XSS, dua forum peretasan yang dapat diakses publik dan sangat populer, dan memposting pesan untuk mencegah pelaku ancaman lainnya menyalahgunakan penyedia hosting Belanda untuk menjadi host botnet atau bentuk kejahatan siber lainnya.

Sumber: ZDNet

Tautan ke video YouTube juga disertakan, video yang diakhiri dengan pesan dari polisi Belanda yang mengatakan: “Semua orang membuat kesalahan. Kami menunggu kesalahan Anda.”

Pesan agresif tersebut bukanlah suatu kejutan, setidaknya bagi para pakar keamanan siber, yang sebagian besar sangat menyadari sikap agresif polisi Belanda.

Polisi Belanda saat ini juga berada di jantung operasi pencopotan massal untuk menghapus malware Emotet dari host yang terinfeksi, bersama dengan polisi Jerman.

Sumber: ZDNet

Tagged With: Cyber Criminal, Cyber Security, Dutch Police, Emotet, Raid, XSS

Kerentanan XSS di Vue.js terungkap

February 2, 2021 by Winnie the Pooh

Pengembang kerangka kerja JavaScript Vue.js telah mengatasi kerentanan cross site scripting (XSS) di ekstensi Chrome, tetapi hanya bertindak setelah peneliti mengumumkan kesalahan tersebut.

Jiantao Li dari starlabs konsultan keamanan yang berbasis di Singapura menemukan kekurangan tersebut sebelum memberi tahu pengembangnya, yang memiliki lebih dari satu juta pengguna di antara komunitas pengembangan perangkat lunak.

Setelah lebih dari dua minggu tanpa hasil mencoba memberi tahu pengembang secara pribadi melalui email, starlabs mencoba pendekatan yang berbeda dan memposting tentang masalah tersebut di GitHub yang menawarkan detail di samping kode bukti konsep. Pendekatan yang berbeda membuahkan hasil yang cepat dan masalah diselesaikan dalam waktu tiga jam.

Dalam laporannya, starlabs menjelaskan dampak kerentanan dan bagaimana penyerang mungkin mengeksploitasinya sebelum diselesaikan.

“Ini pada dasarnya adalah kerentanan injeksi kode di ekstensi browser populer,” jelas peneliti. “Penyebabnya adalah data yang tidak dipercaya dieksekusi sebagai kode.

“UXSS akan memungkinkan penyerang untuk mengeksekusi JavaScript dari satu domain ke domain lain jika berhasil dieksploitasi.”

Sumber: The Daily Swig

Tagged With: Chrome Extension, Cybersecurity, Security, Vue.js, Vulnerability, XSS

TikTok Memperbaiki bug reflected XSS, eksploitasi pengambilalihan akun satu klik

November 24, 2020 by Winnie the Pooh

TikTok telah menambal cacat keamanan reflected XSS dan bug yang menyebabkan pengambilalihan akun yang memengaruhi domain web perusahaan.

Dilaporkan melalui platform bug bounty HackerOne oleh peneliti Muhammed “milly” Taskiran, kerentanan pertama terkait dengan parameter URL di domain tiktok.com yang tidak dibersihkan dengan benar.

Peneliti bug bounty menemukan bahwa masalah ini dapat dieksploitasi untuk mencapai reflected cross-site scripting (XSS), yang berpotensi mengarah ke eksekusi kode berbahaya di sesi browser pengguna.

Selain itu, Taskiran menemukan endpoint yang rentan terhadap Cross-Site Request Forgery (CSRF), serangan di mana pelaku ancaman dapat menipu pengguna untuk mengirimkan tindakan atas nama mereka ke aplikasi web sebagai pengguna tepercaya.

“Endpoint memungkinkan saya menyetel kata sandi baru pada akun yang telah menggunakan aplikasi pihak ketiga untuk mendaftar,” kata pemburu bug itu.

Taskiran dianugerahi hadiah bug bounty sebesar $ 3.860.

Sumber: ZDNet

Tagged With: Bug, Cross-Site Request Forgery, cross-site scripting, CSRF, Cybersecurity, Security, TikTok, XSS

Cacat Keamanan di Aplikasi Desktop Discord Memungkinkan Peretas Mengambil Alih Sistem

October 21, 2020 by Winnie the Pooh

Platform perpesanan instan dan VoIP populer, Discord, memiliki kerentanan di aplikasi desktopnya yang terbuka untuk serangan eksekusi kode jarak jauh (RCE). Pertama kali diungkapkan oleh pemburu bug bounty Masato Kinugawa, RCE dapat dieksploitasi untuk mengambil alih komputer korban.

Kinugawa pertama kali mendeteksi kerentanan beberapa bulan lalu dan melaporkannya melalui program bug bounty Discord. Dalam deskripsi detail di blognya, dia mengatakan kerentanan tersebut merupakan kombinasi dari beberapa bug – tidak ada contextIsolation, XSS di sematan iframe, dan bypass pembatasan navigasi.

Penyebab utama bug adalah Electron, kerangka kerja perangkat lunak sumber terbuka yang membantu dalam membuat aplikasi lintas platform menggunakan CSS, JavaScript, dan HTML. Aplikasi perpesanan desktop Discord bukan open source tetapi memiliki kode JavaScript yang digunakan Electron. Kode disimpan secara lokal.

Dia menambahkan bahwa ketika dia mencoba menemukan cara untuk mengeksekusi JavaScript di aplikasi Electron, dia menemukan cacat cross-site scripting (XSS) di iframe. Ini digunakan untuk menyematkan video yang dapat ditampilkan dalam obrolan atau halaman web.

Ketika peneliti memeriksa domain di iframe, dia menemukan Sketchfab yang memungkinkan tampilan konten 3D di halaman web. Meskipun Sketchfab dapat disematkan di iframe, ia menemukan kerentanan XSS berbasis DOM (Document Object Model) di halaman sematan yang dapat disalahgunakan.

Berikut adalah video dimana Masato Kinugawa, dengan menggabungkan tiga bug yang ia temukan, dapat mencapai RCE.

Tagged With: cross-site scripting, Cybersecurity, Discord, Electron, Security, Vulnerability, XSS

  • Page 1
  • Page 2
  • Go to Next Page »

Copyright © 2025 · Naga Cyber Defense · Sitemap

Cookies Settings
We use cookies on our website to give you the most relevant experience by remembering your preferences and repeat visits. By clicking “Accept”, you consent to the use of ALL the cookies.
Do not sell my personal information.
AcceptReject AllCookie Settings
Manage consent

Privacy Overview

This website uses cookies to improve your experience while you navigate through the website. Out of these, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may affect your browsing experience.
Necessary
Always Enabled
Necessary cookies are absolutely essential for the website to function properly. These cookies ensure basic functionalities and security features of the website, anonymously.
Functional
Functional cookies help to perform certain functionalities like sharing the content of the website on social media platforms, collect feedbacks, and other third-party features.
Performance
Performance cookies are used to understand and analyze the key performance indexes of the website which helps in delivering a better user experience for the visitors.
Analytics
Analytical cookies are used to understand how visitors interact with the website. These cookies help provide information on metrics the number of visitors, bounce rate, traffic source, etc.
CookieDurationDescription
_ga2 yearsThe _ga cookie, installed by Google Analytics, calculates visitor, session and campaign data and also keeps track of site usage for the site's analytics report. The cookie stores information anonymously and assigns a randomly generated number to recognize unique visitors.
_gat_gtag_UA_172707709_11 minuteSet by Google to distinguish users.
_gid1 dayInstalled by Google Analytics, _gid cookie stores information on how visitors use a website, while also creating an analytics report of the website's performance. Some of the data that are collected include the number of visitors, their source, and the pages they visit anonymously.
Advertisement
Advertisement cookies are used to provide visitors with relevant ads and marketing campaigns. These cookies track visitors across websites and collect information to provide customized ads.
Others
Other uncategorized cookies are those that are being analyzed and have not been classified into a category as yet.
non-necessary
SAVE & ACCEPT
Powered by CookieYes Logo