TikTok telah memperbaiki kerentanan keamanan reflected XSS dan kerentanan pengambilalihan akun yang memengaruhi domain web perusahaan.
Dilaporkan melalui platform bug bounty HackerOne oleh peneliti Muhammed “milly” Taskiran, kerentanan pertama terkait dengan parameter URL di domain tiktok.com yang tidak disanitasi dengan benar.
Saat mem-fuzzing platform, peneliti menemukan bahwa masalah ini dapat dieksploitasi untuk mencapai reflected cross-site scripting (XSS), yang berpotensi mengarah ke eksekusi kode berbahaya di sesi browser pengguna.
Selain itu, Taskiran menemukan endpoint yang rentan terhadap Cross-Site Request Forgery (CSRF), serangan di mana pelaku ancaman dapat menipu pengguna untuk mengirimkan tindakan atas nama mereka ke aplikasi web sebagai pengguna tepercaya.
Taskiran mampu membuat payload JavaScript sederhana yang menggabungkan kedua kerentanan tersebut. Skrip tersebut dapat memicu masalah CSRF, dan kemudian jika dimasukkan ke dalam parameter URL yang rentan, akan menyebabkan pengambilalihan akun hanya dengan sekali klik.
Baca Juga: “Cisco Ungkap Kerentanan Kritis Cisco Security Manager Setelah Kode Eksploitasi Dipublikasi“
“Endpoint (itu) memungkinkan saya menyetel kata sandi baru pada akun yang telah menggunakan aplikasi pihak ketiga untuk mendaftar,” kata Taskiran.
TikTok pertama kali menerima laporan yang menggambarkan kerentanan pada 26 Agustus 2020. Pada 3 September 2020, TikTok telah melakukan triase masalah keamanan dan memberikan skor tingkat keparahan 8,2. Kerentanan tersebut sudah diperbaiki pada tanggal 18 September 2020.
Atas laporan kerentanannya, Taskiran diberi hadiah bug bounty sebesar $3.860.
