Pizzafy 1.0 – Multiple SQL Injection dan File Upload Shell Vulnerabilities

Deskripsi Kerentanan Pizzafy 1.0

Pizzafy Ecommerce System berbasis PHP dan MySQL dilaporkan memiliki
potensi kerentanan keamanan pada fungsi autentikasi dan pengelolaan
menu administrator. Temuan yang dijelaskan meliputi SQL Injection
pada parameter email serta dugaan kelemahan validasi
berkas pada parameter img.

SQL Injection dapat terjadi ketika masukan pengguna memengaruhi
kueri SQL yang dijalankan aplikasi. Sementara itu, validasi
pengunggahan berkas yang tidak memadai dapat memungkinkan berkas
berbahaya disimpan pada server.

Jika kedua kelemahan terkonfirmasi, dampaknya dapat mencakup
akses tidak sah terhadap data atau eksekusi kode pada server,
bergantung pada konfigurasi aplikasi dan hak akses yang tersedia.

Informasi Perangkat Lunak

• Nama: Pizzafy Ecommerce System
• Teknologi: PHP dan MySQL
• Referensi vendor: GitHub
• Unduhan: SourceCodester – Pizzafy Ecommerce System
• Penulis laporan: nu11secur1ty

1. SQL Injection pada Parameter Email

Deskripsi

Menurut laporan, parameter email pada fungsi login
diduga rentan terhadap SQL Injection. Pengujian yang dilaporkan
menggunakan masukan yang dirancang untuk memicu fungsi MySQL
LOAD_FILE() dan interaksi dengan domain eksternal.

Interaksi jaringan yang muncul dapat menjadi indikator untuk
penyelidikan lebih lanjut, tetapi tidak dengan sendirinya
membuktikan SQL Injection. Konfirmasi memerlukan pemeriksaan
kode aplikasi, kueri basis data, dan hasil pengujian terkontrol.

Endpoint yang Dilaporkan

POST /Pizzafy/admin/ajax.php?action=login2 HTTP/1.1

Permintaan menggunakan metode POST dengan tipe konten
application/x-www-form-urlencoded; charset=UTF-8.
Parameter yang disebutkan adalah email dan
password.

Potensi Dampak

• Akses tidak sah terhadap data basis data.
• Manipulasi kueri autentikasi.
• Pengungkapan informasi sensitif.
• Interaksi jaringan yang tidak diharapkan jika konfigurasi server memungkinkan.

2. File Upload Vulnerability pada Halaman Menu

Deskripsi

Laporan juga menyebutkan potensi kelemahan pada parameter
img di halaman pengelolaan menu
(page=menu). Validasi berkas yang tidak memadai
dapat memungkinkan pengguna mengunggah jenis berkas yang
seharusnya ditolak aplikasi.

Jika berkas PHP dapat disimpan di lokasi yang dapat dieksekusi
oleh web server, kelemahan ini berpotensi menyebabkan
Remote Code Execution (RCE).

Endpoint yang Dilaporkan

POST /Pizzafy/admin/ajax.php?action=save_menu HTTP/1.1

Laporan menyebut penggunaan berkas diagnostik bernama
info.php yang berisi pemanggilan
phpinfo(). Jika dieksekusi, fungsi tersebut
dapat mengungkap konfigurasi PHP dan informasi lingkungan server.

Potensi Dampak

• Pengungkapan konfigurasi server.
• Eksekusi kode jika berkas unggahan diproses sebagai skrip.
• Penyalahgunaan hak akses proses web server.
• Kompromi aplikasi lebih lanjut bergantung pada izin sistem.

3. Tingkat Keparahan

Laporan asli mengategorikan temuan sebagai
CRITICAL. Kategori tersebut merupakan penilaian
dari laporan dan belum tentu merupakan skor keparahan yang
telah diverifikasi secara independen.

Penilaian final sebaiknya mempertimbangkan kebutuhan autentikasi,
hak akses yang diperlukan, kemungkinan eksekusi kode, serta
dampak terhadap kerahasiaan, integritas, dan ketersediaan data.
Nomor CVE dan skor CVSS tidak dicantumkan karena belum tersedia
konfirmasi yang memadai.

4. Rekomendasi Mitigasi

Mencegah SQL Injection

• Gunakan prepared statements dan parameter binding melalui PDO atau MySQLi.
• Hindari menggabungkan masukan pengguna secara langsung ke kueri SQL.
• Terapkan prinsip hak akses minimum pada akun basis data.
• Batasi koneksi keluar server yang tidak diperlukan.
• Catat kesalahan aplikasi tanpa menampilkan detail basis data kepada pengguna.

Mengamankan Pengunggahan Berkas

• Gunakan allowlist ekstensi berkas yang diizinkan.
• Validasi isi berkas di sisi server, bukan hanya nama berkas atau MIME type.
• Simpan unggahan di luar document root jika memungkinkan.
• Nonaktifkan eksekusi skrip di direktori unggahan.
• Batasi ukuran berkas dan izin akses sistem berkas.
• Lakukan pengujian regresi setelah mitigasi diterapkan.

5. Referensi dan Reproduksi

• Pizzafy Ecommerce System – SourceCodester
• Referensi GitHub vendor
• Video reproduksi dan demonstrasi laporan
• Exploit Database
• CXSecurity
• MITRE CVE
• Situs penulis laporan

Referensi demonstrasi dicantumkan sebagai sumber laporan.
Status kerentanan, versi terdampak, dan ketersediaan perbaikan
tetap perlu diperiksa secara terpisah.

6. Kesimpulan

Laporan Pizzafy Ecommerce System 1.0 menyoroti dua area
keamanan yang perlu diperiksa, yaitu penanganan parameter
email pada autentikasi dan validasi berkas pada pengelolaan
menu. Apabila terkonfirmasi, kelemahan tersebut dapat
menimbulkan risiko serius terhadap aplikasi dan data.

Pengembang disarankan menerapkan prepared statements,
validasi unggahan yang ketat, isolasi direktori berkas,
dan pembatasan hak akses server. Semua temuan harus
diverifikasi melalui pengujian yang sah dan terkontrol.

FAQ – Pertanyaan Umum

Apa itu SQL Injection pada Pizzafy 1.0?

SQL Injection adalah kelemahan yang memungkinkan masukan
pengguna memengaruhi kueri SQL. Laporan ini menyoroti
parameter email pada fungsi login.

Apa risiko file upload vulnerability?

Jika berkas skrip dapat diunggah dan dieksekusi oleh server,
penyerang berpotensi menjalankan kode dengan hak akses
proses web server.

Apakah kerentanan ini sudah dikonfirmasi?

Artikel ini disusun berdasarkan laporan yang diberikan.
Konfirmasi independen memerlukan pemeriksaan kode sumber
dan pengujian terkontrol.

Bagaimana mencegah SQL Injection pada PHP dan MySQL?

Gunakan prepared statements, parameter binding, dan hak
akses basis data minimum. Jangan menyusun kueri langsung
dari masukan pengguna.

Bagaimana cara mengamankan fitur unggah berkas?

Validasi isi berkas di sisi server, gunakan allowlist
ekstensi, simpan unggahan di lokasi non-eksekusi, dan
batasi izin akses.

Apakah temuan ini memiliki nomor CVE?

Nomor CVE belum dicantumkan karena belum ada referensi
terverifikasi dalam informasi yang tersedia.