Dalam dunia cybersecurity, kerentanan (vulnerability) adalah kelemahan pada sistem, aplikasi, jaringan, atau konfigurasi yang dapat dimanfaatkan oleh pihak tidak berwenang untuk memperoleh akses, mencuri data, mengubah informasi, atau mengganggu layanan.

Secara umum, kerentanan diklasifikasikan berdasarkan tingkat dampak dan kemudahan eksploitasi menjadi beberapa kategori: Informational, Low, Medium, High, dan Critical.

Level 1 — Informational

Kerentanan kategori Informational tidak secara langsung memungkinkan kompromi sistem, namun dapat memberikan informasi yang membantu penyerang melakukan serangan lanjutan.

Contoh Kerentanan Informational

• Version Disclosure
• Banner Disclosure
• Directory Listing
• Missing Security Headers
• Internal IP Disclosure
• Exposed Metadata
• Source Map Disclosure
• Technology Stack Disclosure

Dampak

• Membantu proses reconnaissance.
• Mempermudah fingerprinting target.
• Menjadi pijakan untuk serangan berikutnya.

Contoh

Server menampilkan:

Apache/2.4.57 Ubuntu
PHP/8.3.1

Informasi tersebut dapat digunakan untuk mencari eksploit yang sesuai dengan versi software yang digunakan.

---

Level 2 — Low Severity

Kerentanan Low biasanya memiliki dampak terbatas atau membutuhkan kondisi tertentu untuk dieksploitasi.

Contoh Kerentanan Low

• Clickjacking
• Open Redirect
• Weak Password Policy
• Username Enumeration
• Missing Rate Limiting
• Information Leakage
• Verbose Error Messages

Dampak

• Membantu phishing.
• Mempermudah brute force.
• Menurunkan tingkat keamanan aplikasi.

Contoh

Open Redirect:

https://target.com/redirect?url=https://evil.com

Korban dapat diarahkan ke situs phishing menggunakan domain terpercaya.

---

Level 3 — Medium Severity

Kerentanan Medium dapat menyebabkan akses tidak sah terhadap sebagian data atau fungsi aplikasi.

Contoh Kerentanan Medium

• Cross-Site Scripting (Reflected)
• Stored XSS Terbatas
• CSRF
• IDOR dengan Dampak Terbatas
• File Upload Restriction Bypass
• Session Fixation
• SSRF Terbatas
• Weak Access Control

Dampak

• Pengambilalihan akun pengguna tertentu.
• Akses data pengguna lain.
• Manipulasi transaksi tertentu.

Contoh

IDOR:

GET /api/profile?id=1001

Mengubah nilai ID menjadi:

GET /api/profile?id=1002

menampilkan data pengguna lain tanpa otorisasi.

---

Level 4 — High Severity

Kerentanan High dapat memberikan akses signifikan terhadap data sensitif atau fungsi administratif.

Contoh Kerentanan High

• Stored XSS
• Blind SQL Injection
• Arbitrary File Upload
• Privilege Escalation
• Authentication Bypass
• Sensitive Data Exposure
• SSRF Internal Access
• Business Logic Vulnerabilities

Dampak

• Pengambilalihan akun administrator.
• Akses database sensitif.
• Manipulasi data dalam jumlah besar.

Contoh

Stored XSS pada panel administrator:

<script>alert(document.cookie)</script>

Ketika admin membuka halaman tersebut, sesi admin dapat dicuri.

---

Level 5 — Critical Severity

Critical merupakan kategori paling berbahaya karena memungkinkan kompromi total terhadap sistem atau infrastruktur.

Contoh Kerentanan Critical

• SQL Injection
• Remote Code Execution (RCE)
• Command Injection
• Deserialization Vulnerability
• Authentication Bypass Admin
• Unrestricted File Upload + RCE
• Database Dump Exposure
• Full Account Takeover
• Cloud Misconfiguration dengan Akses Publik
• Broken Access Control yang Mengekspos Seluruh Data

Dampak

• Pengambilalihan server.
• Pengambilalihan database.
• Kebocoran seluruh data organisasi.
• Eksekusi perintah pada sistem target.
• Potensi ransomware dan data destruction.

Contoh

SQL Injection:

' OR 1=1--

Jika aplikasi rentan, penyerang dapat membaca seluruh isi database.

---

Daftar Kerentanan Berdasarkan Kategori OWASP

Broken Access Control

• IDOR
• Privilege Escalation
• Forced Browsing
• Authorization Bypass

Cryptographic Failures

• Weak Encryption
• Hardcoded Secrets
• Sensitive Data Exposure

Injection

• SQL Injection
• NoSQL Injection
• LDAP Injection
• Command Injection
• XML Injection

Insecure Design

• Business Logic Flaws
• Workflow Bypass
• Missing Security Controls

Security Misconfiguration

• Default Credentials
• Exposed Admin Panel
• Debug Mode Enabled

Vulnerable Components

• Outdated Libraries
• End-of-Life Frameworks
• Known CVE Exploitation

Identification and Authentication Failures

• Weak Passwords
• Session Fixation
• Session Hijacking

Software and Data Integrity Failures

• Insecure Updates
• Dependency Confusion
• CI/CD Compromise

Security Logging Failures

• Missing Audit Logs
• Log Tampering

Server-Side Request Forgery (SSRF)

• Internal Service Discovery
• Cloud Metadata Access

---

Kerentanan yang Paling Sering Memberikan Dampak Critical

Berikut jenis kerentanan yang paling sering menghasilkan laporan Critical pada program bug bounty dan penetration testing:

1. SQL Injection
2. Remote Code Execution (RCE)
3. Authentication Bypass
4. Broken Access Control
5. Arbitrary File Upload
6. Server-Side Request Forgery (SSRF)
7. Insecure Direct Object Reference (IDOR) Mass Disclosure
8. Command Injection
9. Cloud Storage Misconfiguration
10. Full Account Takeover

---

Kesimpulan

Tidak semua kerentanan memiliki tingkat risiko yang sama. Sebuah Missing Security Header mungkin hanya dikategorikan sebagai Informational, sementara SQL Injection atau Remote Code Execution dapat menyebabkan kompromi total terhadap organisasi dan masuk kategori Critical.

Memahami klasifikasi tingkat risiko membantu security researcher, bug bounty hunter, dan tim keamanan menentukan prioritas perbaikan sehingga sumber daya dapat difokuskan pada kerentanan yang memiliki dampak terbesar terhadap keamanan sistem.