1. Static Analysis (White-Box)#

Karena mayoritas plugin WordPress bersifat open-source, kita bisa langsung membedah kodenya. Fokuskan pencarian pada fungsi-fungsi PHP yang berisiko (sinks).

Gunakan fitur pencarian di VS Code untuk mencari kata kunci berikut:

• $wpdb->query(): Jika ada query database yang dieksekusi secara langsung tanpa dibungkus dengan $wpdb->prepare(), ini adalah tanda tanda terdapat SQL Injection (SQLi).
• echo, print, atau printf: Cek apakah output dari input pengguna (user input) langsung ditampilkan tanpa melewati fungsi sanitasi bawaan WordPress seperti esc_html() atau esc_attr(). Ini adalah titik masuk untuk Cross-Site Scripting (XSS).
• admin_init, wp_ajax_: Periksa action hooks ini. Sering kali developer lupa menambahkan validasi peran seperti current_user_can('manage_options') atau pengecekan nonce (wp_verify_nonce). Kelalaian ini bisa berujung pada Privilege Escalation atau Cross-Site Request Forgery (CSRF).

2. Dynamic Analysis (Black-Box)#

Sembari membaca kode, jalankan plugin tersebut di VPS. Gunakan Burp Suite untuk melihat detail setiap HTTP Request yang dikirimkan. Seringkali, kerentanan seperti logic flaw (kesalahan logika bisnis) tidak terlalu jelas saat hanya membaca kode, namun langsung terlihat ketika kita mencoba memanipulasi parameter seperti ID pengguna atau status role saat berinteraksi dengan aplikasinya.

1. Cross-Site Scripting (XSS)#

Ini adalah raja dari segala bug di ekosistem web. Pada WordPress, XSS sering terjadi ketika plugin mengambil input pengguna (seperti di kolom komentar, formulir kontak, atau parameter URL) dan langsung menampilkannya di halaman tanpa menggunakan fungsi escaping bawaan seperti esc_html() atau esc_attr(). Stored XSS adalah yang paling diincar karena payload tersimpan di database dan bisa menyerang Admin yang sedang login.

2. Broken Access Control & IDOR#

Sering kali developer plugin membuat fitur (misalnya, mengunduh struk atau mengedit profil) namun lupa memvalidasi apakah pengguna tersebut berhak mengakses data tersebut. Insecure Direct Object Reference (IDOR) memungkinkan attacker cukup mengubah parameter id=1 menjadi id=2 di Burp Suite untuk melihat atau memodifikasi data pengguna lain.

3. SQL Injection (SQLi)#

Meskipun WordPress memiliki class $wpdb yang aman, developer kadang masih menulis query SQL mentah yang digabungkan langsung dengan variabel input. Tanpa penggunaan $wpdb->prepare(), attacker bisa menyisipkan perintah SQL berbahaya untuk mengekstrak data sensitif (seperti hash password) hingga mengambil alih database.

4. Unauthenticated Arbitrary File Upload#

Banyak plugin menyediakan fitur unggah file (seperti avatar atau dokumen pelengkap). Jika validasi ekstensi dan tipe MIME lemah, attacker bisa mengunggah file berekstensi .php (atau bypass menggunakan ekstensi ganda seperti shell.php.jpg) untuk menanam webshell dan mendapatkan akses ke server.

5. Privilege Escalation#

Kerentanan ini terjadi ketika sebuah plugin memiliki kelemahan logika yang memungkinkan pengguna dengan role rendah (seperti Subscriber atau Customer) untuk mengubah hak aksesnya menjadi Administrator. Sering terjadi pada plugin registrasi pengguna atau membership yang tidak memfilter parameter request dengan benar saat proses pembaruan profil.

6. Cross-Site Request Forgery (CSRF)#

Jika plugin melakukan aksi perubahan state (misal: menghapus akun atau mengubah pengaturan krusial) tanpa memvalidasi token Nonce (wp_verify_nonce()), attacker dapat menjebak Admin yang sedang login untuk mengklik tautan berbahaya yang akan mengeksekusi aksi tersebut tanpa disadari.

7. Remote Code Execution (RCE) & File Inclusion#

Termasuk dalam kategori kritikal (CWE-98). Bug ini muncul jika plugin menggunakan fungsi seperti include(), require(), atau eval() yang dapat dimanipulasi oleh input pengguna. Attacker bisa memuat file lokal dari server (LFI) atau mengeksekusi kode dari server eksternal (RFI).

8. Authentication Bypass#

Beberapa plugin mengimplementasikan mekanisme login kustom atau integrasi SSO (Single Sign-On). Kesalahan logika dalam proses verifikasi sesi, validasi token, atau kelemahan dalam implementasi kriptografi saat memverifikasi signature, dapat dimanfaatkan attacker untuk login sebagai pengguna lain tanpa perlu mengetahui password-nya.

9. Insecure Deserialization#

PHP memiliki fitur serialisasi data (serialize dan unserialize). Jika plugin menerima data serialized dari pengguna yang tidak tepercaya (misalnya melalui cookie atau parameter API) dan langsung melakukan unserialize, attacker ahli dapat memicu Object Injection yang berujung pada RCE. Ini sering menjadi celah favorit dalam kompetisi Capture The Flag (CTF) kategori Web Exploit.

10. Information Disclosure#

Sering dianggap remeh, namun sangat berbahaya pada tahap reconnaissance. Plugin terkadang membocorkan informasi sensitif melalui endpoint REST API, pesan error SQL yang terlalu detail, atau mengekspos file backup .zip/.sql di direktori publik. Informasi ini menjadi pijakan awal untuk merangkai serangan yang lebih besar.