Celah Keamanan di OJS

ThisCirebon – Sejumlah celah keamanan penting ditemukan pada sistem Open Journal Systems (OJS) yang dikembangkan oleh Public Knowledge Project (PKP). Berdasarkan hasil pencarian dari situs Vulmon, terdapat berbagai CVE (Common Vulnerabilities and Exposures) yang memengaruhi OJS dalam beberapa versi berbeda. Celah-celah ini memiliki tingkat keparahan dari sedang hingga kritis, dengan risiko seperti pengambilalihan sistem, pencurian data, hingga eksekusi kode berbahaya.

Berikut rangkuman lengkapnya:

Daftar Kerentanan Penting di PKP OJS

Analisis Dampak Kerentanan

1. Pengambilalihan Sistem (Takeover)

CVE-2024-56525 memungkinkan penyerang membuat akun super-admin, bahkan mengunggah plugin backdoor. Ini adalah salah satu celah paling berbahaya yang pernah ditemukan di ekosistem PKP.

2. Eksekusi Aksi Tanpa Izin (CSRF)

Melalui CSRF, penyerang dapat memanfaatkan sesi login korban untuk mengubah konfigurasi, menambah user, atau menjalankan perubahan sensitif lainnya.

3. Penyisipan Skrip (XSS)

XSS dapat dipakai untuk mencuri cookie admin, merusak tampilan, atau melakukan redirect ke situs palsu. Ada tiga CVE XSS berbeda yang ditemukan di OJS versi 3.3 dan 3.4.

4. Manipulasi File XML

Celah pada validasi file memungkinkan file berbahaya diproses sebagai gambar, membuka peluang serangan lanjutan.

5. Open Redirect

CVE-2024-7902 membuat pengguna bisa diarahkan ke situs phishing setelah logout, meningkatkan risiko social engineering.

6. Upload Berbahaya (Versi Lama)

Pada versi di bawah 2.3.7, pelaku dapat mengunggah file berbahaya dan mengeksekusinya—celah klasik yang sangat rawan pada server yang belum diperbarui.

Rekomendasi Mitigasi

1. Update OJS ke versi terbaru (minimal 3.3.0-21 atau 3.4.0.8 untuk patch XXE).

2. Perbarui pkp-lib ke versi terbaru.

   Lihat Lebih Lanjut: Kiro.dev Mulai Banyak Dicari Developer, Ini Alasan, Harga, dan Perbandingannya dengan AI Coding Lain

3. Batasi hak akses Editor / Manager, terutama pada fitur import XML.

4. Aktifkan sanitasi input untuk mencegah XSS.

5. Gunakan Content-Security-Policy di server.

   Lihat Lebih Lanjut: ChatGPT Semakin Populer, Teknologi AI Ini Mengubah Cara Masyarakat Berinteraksi Digital

6. Perbaiki validasi redirect agar hanya URL tepercaya yang diizinkan.

7. Aktifkan proteksi WAF untuk memblokir serangan umum.

8. Audit log rutin, terutama untuk upload file, perubahan role, dan import XML.

   Lihat Lebih Lanjut: Cara Mengamankan Website WordPress dari Serangan Hacker

9. Gunakan plugin resmi dan minimalkan plugin pihak ketiga.

10. Lakukan pentest berkala jika jurnal memiliki data sensitif atau jumlah pengguna besar.

Kesimpulan

OJS adalah platform populer untuk pengelolaan jurnal ilmiah, namun berbagai kerentanan yang tercatat di Vulmon menunjukkan bahwa sistem ini harus dikelola dengan serius, terutama terkait update dan kontrol keamanan. Banyak celah yang memungkinkan:

• eskalasi hak akses

• pencurian data

• pengunggahan file berbahaya

• penyisipan skrip

• hingga pengambilalihan penuh sistem

Instansi pendidikan, jurnal ilmiah, hingga lembaga penelitian harus memastikan sistem OJS mereka berada pada versi terbaru dan dikonfigurasi dengan keamanan yang kuat.