HTML Injection di Tokopedia

HTML Injection merupakan kelemahan web yang mana penyerang dapat memasukkan file kode HTML pada web sesuai kehendak penyerang. Penyerang mengirimkan kode HTML melalui celah web dengan tujuan untuk mengubah desain situs web atau informasi apa pun yang ditampilkan kepada pengguna. Sehingga, pengguna akan melihat data yang dikirim oleh penyerang. Oleh karena itu, secara umum serangan ini melakukan penyuntikan kode bahasa markup ke dokumen halaman.

Sumber terkait HTML Injection dapat dibaca disini.

Deskripsi Temuan

Kerentanan ini saya temukan pada Search Query m.tokopedia.com. Dengan memanfaatkan input barang yang tidak ada di Tokopedia, sistem akan memberikan rekomendasi barang. Input user akan terefleksi pada pesan rekomendasi. Pada dasarnya, sistem telah memfilter input yang bermuatan XSS seperti javascript, onalert, onload, confirm dan sebagainya, namun tidak memfilter kode HTML lainnya.

Proof Of Concept

Impact

Penyerang dapat membuat formulir palsu, menyisipkan gambar dan berbagai bentuk tampilan html lainnya kepada korban.

Meaningful Reward

Terimakasih banyak untuk IT Security Tokopedia atas apresiasi yang begitu bermakna bagi saya :D.