Merdeka.com - Jejaring sosial berbagi video pendek TikTok, berencana akan memberi hadiah untuk peretas yang mampu menemukan bug di platformnya.

Hadiah ini berupa USD 3.860 atau setara Rp 54,7 juta yang akan diberikan kepada 'bug bounty' atau pemburu bug dan kerentanan yang ada di sistem.

TikTok pertama kali menerima laporan mengenai kerentanan tersebut dari hacker pemburu bug bounty bernama Muhammed "milly" Taskiran pada 26 Agustus lalu.

Kemudian, pada 3 September, TikTok melakukan analisis pada masalah keamanan tersebut dan memberikan skor keparahan 8.2. Bug ini kemudian diperbaiki tanggal 18 September.

TikTok menambal celah keamanan XSS dan bug yang memungkinkan terjadinya pengambilalihan akun yang mempengaruhi domain web perusahaan.

Dikutip dari ZDNet via Tekno Liputan6.com, kerentanan yang dimaksud terkait dengan parameter URL di domain tiktok.com yang tak dibersihkan dengan benar.

Kerentanan

Taskiran menemukan bahwa kerentanan ini dapat dieksploitasi untuk mencapai skrip lintas situs (XSS) yang berpotensi mengarah ke eksekusi kode berbahaya di sesi browser pengguna.

Taskiran juga menemukan sebuah endpoint yang rentan terhadap Cross-Site Request Forgery (CSRF).

CSRF merupakan sebuah serangan di mana pelaku ancaman menipu pengguna untuk mengirimkan tindakan atas nama mereka ke aplikasi web, sehingga pelaku dianggap sebagai pengguna terpercaya.

Bisa Ambil Alih Akun

Taskiran juga membuat muatan Javascript sederhana yang menggabungkan kedua kerentanan tersebut.

Skrip tersebut dapat memicu masalah CSRF, jika dimasukkan ke parameter URL yang rentan, bisa menyebabkan pengambilalihan akun dengan sekali klik.

"Endpoint tersebut memungkinkan saya menyetel kata sandi baru pada akun yang diambil alih, kemudian login menggunakan aplikasi pihak ketiga," kata hacker tersebut.

Sumber: Liputan6.comReporter: Agustin Setyo Wardani