BugBounty - No Filtering On Application Mobile Fore

heyooooo, Kali ini saya akan membahas temuan saya pada aplikasi Fore Coffee, jadi sebenarnya temuan ini sudah lama hanya saja baru saya publikasikan.

Pada 4 Juli 2022 saat saya sedang nongkrong dipinggir jalan terlihat sebuah toko kopi yang harganya lumayan mahal.

saat dirumah saya langsung membuka laptop untuk mencari info tentang toko kopi tersebut dan mendaftar sebagai pelanggan.

saat saya mendaftarkan sebagai user saya tidak lupa untuk membuka tools sakti yaitu burpsuite dan saya langsung melakukan intercept pada request aplikasi.

saya melihat terdapat parameter body langsung saja saya memasukan payload xss “<script>alert(1)</script>” pada body request dan hasilnya payload tersebut masuk tanpa adanya filtering pada aplikasi.

tidak menunggu lama saya langsung report temuan ini pada IT Developer aplikasi fore coffee.

setelah menunggu balasan 3×24 jam akhirnya report saya dinyatakan valid dan mendapatkan 30 voucher free cup coffee sebagai reward atas temuan tersebut.