rrespxwnss/cve-2025-63572
Se descubrió una vulnerabilidad de inyección SQL en el endpoint responsable de buscar clientes de la plataforma. La entrada del usuario enviada al parámetro de búsqueda se concatena directamente en una consulta SQL sin saneamiento/parametrización adecuada, lo que permite al atacante manipular la consulta.
Se descubrió una vulnerabilidad de inyección SQL en el endpoint responsable de buscar clientes de la plataforma (Zentrajuris v.1.0). La entrada del usuario enviada al parámetro de búsqueda se concatena directamente en una consulta SQL sin la debida sanitización/parametrización, lo que permite al atacante manipular la consulta.
iqopgbljnxmxlzvzbvgy.supabase.co/rest/v1/clients
Agregue el parámetro ?select=*&limit=100 y modifique el encabezado Accept a application/json
La vulnerabilidad de inyección SQL identificada en el endpoint responsable de la búsqueda de clientes representa un riesgo de seguridad significativo para la plataforma, ya que permite que la entrada proporcionada por el usuario sea interpretada directamente como comandos SQL por la base de datos. Esta falla permite que un atacante malicioso manipule las consultas para acceder, modificar o extraer información sensible, incluidos datos personales de los clientes como nombres, direcciones de correo electrónico, documentos de identificación y otra información confidencial almacenada en la base de datos. Además, dependiendo del nivel de privilegio de la conexión a la base de datos, la explotación de esta vulnerabilidad podría resultar en cambios no autorizados en los registros, eliminación de datos o incluso comprometer otras áreas del sistema, afectando la integridad, confidencialidad y disponibilidad de la información de la plataforma.
Para mitigar este riesgo, se recomienda implementar de inmediato el uso de sentencias preparadas o consultas parametrizadas, asegurando que toda la entrada proporcionada por el usuario sea tratada exclusivamente como datos y no como parte de la lógica SQL. Además, es esencial aplicar una estricta validación y normalización de entrada, restringiendo los tipos de caracteres aceptados y garantizando que los parámetros proporcionados se ajusten a lo esperado. Este enfoque reduce drásticamente la posibilidad de manipulación maliciosa de consultas, fortaleciendo la seguridad de la aplicación y protegiendo los datos sensibles de los clientes contra accesos no autorizados.
