Muhammad FaqihKeamanan aplikasi · Pengujian penetrasi
Skenario 17 / 19PASS

NoSQL Injection - Community - Coupon Validation (Normal Input)

Lingkungan lab — bukan sistem produksi

Tangkapan layar dan trafik mentah tidak diterjemahkan; teks di dalamnya mungkin menggunakan bahasa lain.

crAPI/Evidence/[PASS] NoSQL Injection - Community - Coupon Validation (Normal Input)

01 — Catatan

Catatan pengujian

Kerentanan

[PASS] NoSQL Injection - Community - Coupon Validation (Normal Input)

Deskripsi

Diuji validasi kupon dengan input string biasa (valid & tak dikenal), tanpa operator NoSQL.

Dampak

Tidak ada dampak: kode valid diterima, kode tak dikenal ditolak sebagaimana mestinya.

CWE

CWE-943: NoSQL Injection (diuji negatif untuk input string biasa)

OWASP

API8:2023 - Security Misconfiguration (diuji negatif - input normal)

Skenario

Normal: kode valid TRAC075 -> 200. Uji: string acak tak dikenal -> ditolak. PASS (validasi input normal berjalan). Injeksi operator ada di [FAIL].

Endpoint

POST http://127.0.0.1:8888/community/api/v2/coupon/validate-coupon

Fitur terdampak

Validasi Kupon (crapi-community)

Rekomendasi perbaikan

Terapkan pemaksaan tipe string & tolak operator/objek (lihat [FAIL] terkait).

Bukti konsep

1) (Screenshot 1) NORMAL: coupon_code="TRAC075" (valid) -> 200. 2) (Screenshot 2) UJI: coupon_code="INVALID_RANDOM_XYZ" (string tak dikenal) -> ditolak (validasi normal berjalan).
Lihat catatan sumber (bahasa Indonesia)
Vulnerability: [PASS] NoSQL Injection - Community - Coupon Validation (Normal Input)

Description:
Diuji validasi kupon dengan input string biasa (valid & tak dikenal), tanpa operator NoSQL.

Impact:
Tidak ada dampak: kode valid diterima, kode tak dikenal ditolak sebagaimana mestinya.

CWE:
CWE-943: NoSQL Injection (diuji negatif untuk input string biasa)

OWASP:
API8:2023 - Security Misconfiguration (diuji negatif - input normal)

Scenario:
Normal: kode valid TRAC075 -> 200. Uji: string acak tak dikenal -> ditolak. PASS (validasi input normal berjalan). Injeksi operator ada di [FAIL].

Endpoint:
POST http://127.0.0.1:8888/community/api/v2/coupon/validate-coupon

Affected Feature:
Validasi Kupon (crapi-community)

Remediation:
Terapkan pemaksaan tipe string & tolak operator/objek (lihat [FAIL] terkait).

POC:
1) (Screenshot 1) NORMAL: coupon_code="TRAC075" (valid) -> 200.
2) (Screenshot 2) UJI: coupon_code="INVALID_RANDOM_XYZ" (string tak dikenal) -> ditolak (validasi normal berjalan).

02 — Tangkapan layar

Tangkapan layar (2)

01 / Normal: kode valid diterima

Alur normal: kode kupon valid berupa string (TRAC075) mendapat respons 200.

02 / Hasil: string tidak dikenal ditolak (PASS)

Hasil (PASS): input string biasa yang tidak dikenal ditolak. Hasil ini hanya berlaku untuk input string biasa; injeksi operator NoSQL tetap memicu kelemahan yang dijelaskan pada [FAIL].

03 — Request dan response

Rekaman HTTP

Sebagian nilai kredensial disamarkan pada tampilan HTML publik ini. Penyamaran ini tidak menjamin bahwa seluruh data sensitif atau berkas tertaut sudah disamarkan.

REKAMAN 01 / 1Normal: kode valid diterima
HTTP request
POST /community/api/v2/coupon/validate-coupon HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]

{"coupon_code":"TRAC075"}
HTTP response
HTTP/1.1 200 OK
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 79

{
  "coupon_code": "TRAC075",
  "amount": "75",
  "CreatedAt": "2026-09-28T14:27:38.729Z"
}

Alur normal: kode kupon valid berupa string (TRAC075) mendapat respons 200.

REKAMAN 02 / 2Hasil: string tidak dikenal ditolak (PASS)
HTTP request
POST /community/api/v2/coupon/validate-coupon HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]

{"coupon_code":"INVALID_RANDOM_XYZ"}
HTTP response
HTTP/1.1 500 Internal Server Error
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 3

{}

Hasil (PASS): input string biasa yang tidak dikenal ditolak. Hasil ini hanya berlaku untuk input string biasa; injeksi operator NoSQL tetap memicu kelemahan yang dijelaskan pada [FAIL].