rrespxwnss/cve-2025-63572
A SQL injection vulnerability was discovered in the endpoint responsible for searching for platform clients. User input sent to the search parameter is concatenated directly into a SQL query without proper sanitization/parameterization, allowing the attacker to manipulate the query.
Uma vulnerabilidade de injeção de SQL foi descoberta no endpoint responsável pela busca de clientes da plataforma (Zentrajuris v.1.0). A entrada do usuário enviada ao parâmetro de busca é concatenada diretamente em uma consulta SQL sem a devida sanitização/parametrização, permitindo que o atacante manipule a consulta.
iqopgbljnxmxlzvzbvgy.supabase.co/rest/v1/clients
Adicione o parâmetro ?select=*&limit=100 e altere o cabeçalho Accept para application/json
A vulnerabilidade de injeção de SQL identificada no endpoint responsável pela busca de clientes representa um risco significativo de segurança para a plataforma, pois permite que a entrada fornecida pelo usuário seja interpretada diretamente como comandos SQL pelo banco de dados. Essa falha permite que um atacante malicioso manipule consultas para acessar, modificar ou exfiltrar informações sensíveis, incluindo dados pessoais de clientes como nomes, endereços de e-mail, documentos de identificação e outras informações confidenciais armazenadas no banco de dados. Além disso, dependendo do nível de privilégio da conexão com o banco, a exploração dessa vulnerabilidade pode resultar em alterações não autorizadas em registros, exclusão de dados ou até mesmo comprometimento de outras áreas do sistema, afetando a integridade, confidencialidade e disponibilidade das informações da plataforma.
Para mitigar esse risco, recomenda-se implementar imediatamente o uso de prepared statements ou consultas parametrizadas, garantindo que toda entrada fornecida pelo usuário seja tratada exclusivamente como dados e não como parte da lógica SQL. Além disso, é essencial aplicar validação e normalização rigorosas de entrada, restringindo os tipos de caracteres aceitos e garantindo que os parâmetros fornecidos estejam em conformidade com as expectativas. Essa abordagem reduz drasticamente a possibilidade de manipulação maliciosa de consultas, fortalecendo a segurança da aplicação e protegendo dados sensíveis dos clientes contra acesso não autorizado.
