rrespxwnss/cve-2025-63572
A SQL injection vulnerability was discovered in the endpoint responsible for searching for platform clients. User input sent to the search parameter is concatenated directly into a SQL query without proper sanitization/parameterization, allowing the attacker to manipulate the query.
È stata scoperta una vulnerabilità di SQL injection nell'endpoint responsabile della ricerca dei clienti della piattaforma (Zentrajuris v.1.0). L'input dell'utente inviato al parametro di ricerca viene concatenato direttamente in una query SQL senza un'adeguata sanificazione/parametrizzazione, consentendo all'attaccante di manipolare la query.
iqopgbljnxmxlzvzbvgy.supabase.co/rest/v1/clients
Aggiungi il parametro ?select=*&limit=100 e modifica l'header Accept in application/json
La vulnerabilità di SQL injection identificata nell'endpoint responsabile della ricerca dei clienti rappresenta un rischio di sicurezza significativo per la piattaforma, poiché consente che l'input fornito dall'utente venga interpretato direttamente come comandi SQL dal database. Questa falla consente a un attaccante malintenzionato di manipolare le query per accedere, modificare o esfiltrare informazioni sensibili, inclusi i dati personali dei clienti come nomi, indirizzi email, documenti di identificazione e altre informazioni riservate memorizzate nel database. Inoltre, a seconda del livello di privilegio della connessione al database, lo sfruttamento di questa vulnerabilità potrebbe comportare modifiche non autorizzate ai record, cancellazione di dati o persino il compromesso di altre aree del sistema, influenzando l'integrità, la riservatezza e la disponibilità delle informazioni della piattaforma.
Per mitigare questo rischio, si raccomanda di implementare immediatamente l'uso di prepared statement o query parametrizzate, assicurando che tutto l'input fornito dall'utente sia trattato esclusivamente come dato e non come parte della logica SQL. Inoltre, è essenziale applicare una rigorosa validazione e normalizzazione dell'input, limitando i tipi di caratteri accettati e garantendo che i parametri forniti siano conformi alle aspettative. Questo approccio riduce drasticamente la possibilità di manipolazione maliziosa delle query, rafforzando la sicurezza dell'applicazione e proteggendo i dati sensibili dei clienti da accessi non autorizzati.
