@0xpipzz: celah keamanan kritis pada sistem Landing Page lp.humanusia.id dan API lp-api.humanusia.id. Kerentanan ini memungkinkan penyerang untuk melakukan manipulasi data secara masif tanpa adanya autentikasi. 🔍 APA ITU XSS (Cross-Site Scripting)? XSS adalah jenis kerentanan di mana penyerang dapat menyuntikkan kode script berbahaya (seperti JavaScript atau HTML) ke dalam halaman web. Ketika pengguna lain (atau admin) membuka halaman tersebut, kode berbahaya itu akan dieksekusi oleh browser mereka. 🔍 APA ITU DEFACEMENT? Defacement adalah aksi mengubah tampilan antarmuka (UI) sebuah website secara ilegal. Dalam kasus ini, kami menggunakan celah XSS untuk menyuntikkan elemen visual (Banner, Gambar, Teks) agar website menampilkan pesan dari kami, bukan tampilan aslinya. ⚙️ BAGAIMANA CARA KERJANYA? 1. Reconnaissance: Kami menganalisis source code (JS Bundle) dan menemukan endpoint API yang tidak terproteksi. 2. Exploitation: Endpoint POST /api/v1/news dan POST /api/v1/landing-settings menerima input data apa pun tanpa memvalidasi sesi pengguna (No Authentication Header). 3. Injection: Kami menyuntikkan payload HTML/Iframe ke dalam parameter content dan title. 4. Execution: Saat pengunjung membuka halaman, React (frontend) merender data tersebut. Karena kurangnya sanitasi (pembersihan input), payload kami tereksekusi dan menutupi halaman asli. 🛠️ METHOD YANG DIGUNAKAN: · HTTP Method: POST Request. · Vulnerability Type: Unauthenticated Broken Access Control (BAC) & Stored Cross-Site Scripting (XSS). · Tools: cURL, Python (Requests), & JavaScript Object Notation (JSON). Tidak ada data pengguna yang diambil atau dirusak. Ini murni sebagai bukti Security Awareness untuk pihak pengembang agar segera memperbaiki sistemnya. Injected by ApipOfficial / 0xPipzz Grextar Minstesion #bughunter #deface #attacker #xss #grextarminstesion

𝟎͠𝐱𝐅𝐯𝐜𝐤 𝐖𝐤𝐰𝐤𝐰̋͢

Open In TikTok:

Region: ID

Sunday 25 October 2026 02:07:47 GMT