🛡️ Laporan Security Assessment

Target: SMKN 1 Padaherang — smkn1padaherang.sch.id
Tanggal: 15 October 2026, 01:28 WIB · Scope: Passive Recon + Reflected XSS Check (non-destructive) · Status: Selesai — tidak ada kerentanan kritis yang dapat dieksploitasi

CMS

WordPress 6.9.10

Server

LiteSpeed

WAF

Monarx v1.0.807

Hosting

RumahWeb

Risk Level

LOW

XSS Tests

4/4 Blocked

📊 Ringkasan Temuan

Severity	Temuan	Status
HIGH	Security headers hilang (CSP, X-Frame-Options, dll)	Perlu tindakan
MEDIUM	User enumeration via REST API	Perlu tindakan
LOW	SPF soft-fail (`~all`)	Perbaikan disarankan
INFO	Info disclosure (readme.html / license.txt)	Opsional

🧪 Hasil Pengujian

Test Vector	Hasil
Reflected XSS via `?s=<script>`	Blocked (Monarx 403)
XSS via `?s="><svg onload=`	Blocked (Monarx 403)
XSS via wp-json search	Blocked (Monarx 403)
XSS via login form POST	Blocked (Monarx 403)
Sensitive files (wp-config.bak, .env, debug.log)	Blocked (403)
HTTP → HTTPS redirect	301 aktif
readme.html / license.txt	200 (info disclosure)

🔍 Detail Temuan & Rekomendasi

1. Security Headers Hilang — HIGH

Tidak ada header X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Content-Security-Policy, atau Permissions-Policy. Website rentan terhadap clickjacking, MIME sniffing, dan serangan client-side jika ada celah XSS.

Rekomendasi: tambahkan header via .htaccess atau konfigurasi LiteSpeed. Minimal: X-Frame-Options: SAMEORIGIN, X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin, dan CSP yang dibangun bertahap (mulai Content-Security-Policy-Report-Only sebelum enforce).

2. User Enumeration via REST API — MEDIUM

Endpoint /wp-json/wp/v2/users mengekspos daftar user beserta ID dan slug-nya. Informasi ini mempermudah attacker melakukan brute-force login atau targeted phishing.

Rekomendasi: tambahkan filter di functions.php untuk membatasi akses wp/v2/users hanya untuk user yang sudah login, atau install plugin keamanan yang memblokir endpoint tersebut.

3. SPF Soft-Fail — LOW

Record SPF menggunakan ~all (soft-fail) bukan -all (hard-fail). Domain masih bisa dimanfaatkan untuk email spoofing meski email-nya tetap tercatat di spam.

Rekomendasi: ubah mekanisme SPF menjadi -all setelah memastikan semua pengirim email resmi (Google Workspace) tercakup dalam record.

4. Info Disclosure — INFO

File readme.html dan license.txt dapat diakses publik, mengungkap versi WordPress yang digunakan.

Rekomendasi: hapus kedua file tersebut atau blokir aksesnya melalui .htaccess.

🏗️ Informasi Infrastruktur

Komponen	Detail
CMS	WordPress 6.9.10 (up-to-date)
Theme	Eduma + Eduma Child (LearnPress LMS)
Server	LiteSpeed Web Server
Backend	PHP 8.3.35
Hosting	RumahWeb (shared hosting, Indonesia)
Email	Google Workspace
TLS	Let's Encrypt, expire 14 Des 2026
WAF / Security	Monarx v1.0.807 (aktif & efektif)
Plugins	LearnPress, Elementor, Slider Revolution, Contact Form 7, CleanTalk, TablePress, Thim Elementor Kit, TP Portfolio, Mailchimp for WP

✅ Poin Positif

WordPress versi terbaru (6.9.10) — tidak ada CVE kritis yang berlaku
Monarx WAF aktif dan sangat efektif — semua payload XSS terblokir sebelum mencapai core
Sensitive files (wp-config, .env, debug.log) tidak dapat diakses publik
HTTP → HTTPS redirect aktif dengan 301 permanent
TLS certificate valid (Let's Encrypt)
Anti-spam (CleanTalk) terpasang

Catatan privasi: Laporan ini telah diredaksi — identifier sensitif (username administrator, alamat IP asli) tidak dimuat untuk mencegah penyalahgunaan informasi. Data lengkap tersimpan secara internal dan hanya dapat diakses oleh pihak yang berwenang.