Agung Sofyan

Mengidentifikasi kerentanan otorisasi pada endpoint log notifikasi email milik salah satu perusahaan BUMN. Celah ini memungkinkan akses tidak sah terhadap data internal dan informasi pengguna lain. Telah dilakukan pelaporan resmi (Responsible Disclosure) kepada tim CSIRT terkait.

Menemukan direktori .git yang terekspos publik pada platform media nasional terbesar di Indonesia. Celah ini mengungkap AWS Access Keys yang berisiko memberikan akses penuh ke basis data perusahaan. Temuan telah dilaporkan dan ditindaklanjuti oleh tim terkait.

Menemukan API endpoint tanpa mekanisme otorisasi yang memadai. Kerentanan ini memungkinkan pihak ketiga untuk mengakses informasi identitas pribadi (PII) pengguna hanya dengan memanipulasi parameter ID.

Menemukan kredensial yang tertanam langsung (hardcoded) pada source code situs staging. Kebocoran ini mencakup akun login default yang dapat digunakan penyerang untuk melakukan pemetaan sistem dan eskalasi hak akses.

Mengidentifikasi file phpInfo() yang terekspos pada sistem instansi BUMN. File tersebut mengungkap konfigurasi server, variabel lingkungan, hingga kredensial basis data yang sangat sensitif dan berisiko tinggi terhadap keamanan sistem.

Menemukan fitur debugger (phpDebugBar) yang aktif secara publik. Celah ini memungkinkan pemantauan konfigurasi sistem, kueri basis data, dan aktivitas internal secara real-time oleh pihak yang tidak berwenang.

Menemukan kesalahan konfigurasi yang menampilkan stack trace lengkap pada sistem internal. Informasi teknis yang bocor mencakup struktur basis data dan alur logika aplikasi yang dapat dimanfaatkan untuk memetakan serangan lebih lanjut.

Menemukan dokumen rekrutmen pada sistem milik BUMN yang terekspos ke publik. Kebocoran ini mengakibatkan data pribadi peserta dapat diakses secara bebas, yang berisiko pada penyalahgunaan identitas dan pelanggaran privasi.

Menemukan file arsip cadangan (backup .zip) yang dapat diakses publik pada salah satu infrastruktur kementerian di Indonesia. File tersebut berisi data pribadi, kode sumber sistem, dan file konfigurasi sensitif.