Stored Cross-Site Scripting - User Profile - Bio Field

Vulnerability:
[FAIL] Stored Cross-Site Scripting - User Profile - Bio Field

Description:
Endpoint /update_bio menyimpan isi bio tanpa sanitasi apa pun. Panel administrasi kemudian menyisipkan nilai tersebut ke dalam DOM melalui innerHTML pada template literal tanpa escaping (templates/admin.html), sementara field lain di modal yang sama seperti id dan account_number justru melewati fungsi escapeHtml. Akibatnya markup yang dikirim pengguna biasa dieksekusi sebagai HTML di dalam sesi administrator.

Impact:
Confidentiality + Integrity (Critical): pengguna dengan hak paling rendah dapat menanam skrip yang berjalan di browser administrator tanpa interaksi apa pun selain membuka detail pengguna, yang merupakan tugas rutin admin. Karena token sesi disimpan di localStorage dan dapat dibaca JavaScript, payload berhasil mengambil JWT administrator secara utuh. Token tersebut memberi penyerang kendali penuh atas panel administrasi, termasuk menghapus akun, membuat administrator baru, dan menyetujui pinjaman.

CWE:
CWE-79: Improper Neutralization of Input During Web Page Generation (Cross-site Scripting)

OWASP:
A03:2021 - Injection

Scenario:
Normal: bio diisi teks biasa dan tampil sebagai teks pada modal detail pengguna di panel admin. Eksploitasi: penyerang mengisi bio dengan tag img beserta handler onerror. Payload tersimpan mentah dan dikembalikan apa adanya oleh /api/v3/user/2. Dampak: administrator membuka modal detail pengguna tersebut, payload dieksekusi di dalam sesi administrator dan membaca JWT administrator dari localStorage.

Endpoint:
POST http://127.0.0.1:5001/update_bio
GET  http://127.0.0.1:5001/api/v3/user/<user_id>
Sink: http://127.0.0.1:5001/sup3r_s3cr3t_admin (modal detail pengguna)

Affected Feature:
Bio profil pengguna dan modal detail pengguna pada panel administrasi

Remediation:
- Render nilai yang berasal dari pengguna sebagai teks (textContent), bukan innerHTML; terapkan escapeHtml pada field bio sebagaimana sudah dilakukan pada field lain di modal yang sama.
- Sanitasi bio di sisi server dengan pustaka allow-list saat disimpan dan saat dikembalikan API.
- Terapkan Content-Security-Policy yang melarang inline script dan handler event.
- Simpan token sesi pada cookie HttpOnly dan SameSite, bukan localStorage, agar tidak terjangkau JavaScript.

POC:
1) (Screenshot 1) NORMAL: bio diisi teks biasa melalui /update_bio -> tersimpan.
2) (Screenshot 2) EKSPLOITASI: bio diisi tag img dengan handler onerror -> diterima tanpa sanitasi.
3) (Screenshot 3) SINK: /api/v3/user/2 mengembalikan payload mentah apa adanya, inilah data yang dikonsumsi panel admin.
4) (Screenshot 4) NORMAL UI: administrator membuka modal detail pengguna saat bio berisi teks biasa -> tampil sebagai teks.
5) (Screenshot 5) DAMPAK CIA: administrator membuka modal detail pengguna yang sama setelah payload ditanam -> skrip dieksekusi di dalam sesi administrator dan menampilkan JWT administrator yang berhasil dicuri secara utuh.