Описание

Уязвимость SQL-инъекции была обнаружена в конечной точке, отвечающей за поиск клиентов платформы (Zentrajuris v.1.0). Пользовательский ввод, отправленный в параметр поиска, конкатенируется непосредственно в SQL-запрос без надлежащей санитизации/параметризации, что позволяет атакующему манипулировать запросом.

Уязвимая конечная точка

iqopgbljnxmxlzvzbvgy.supabase.co/rest/v1/clients

Пример полезной нагрузки

Добавьте параметр ?select=*&limit=100 и измените заголовок Accept на application/json

Подтверждение концепции (PoC)

Воздействие

Уязвимость SQL-инъекции, обнаруженная в конечной точке, отвечающей за поиск клиентов, представляет значительный риск для безопасности платформы, поскольку она позволяет интерпретировать ввод пользователя непосредственно как SQL-команды базой данных. Этот недостаток позволяет злоумышленнику манипулировать запросами для доступа, изменения или извлечения конфиденциальной информации, включая персональные данные клиентов, такие как имена, адреса электронной почты, удостоверяющие документы и другую конфиденциальную информацию, хранящуюся в базе данных. Кроме того, в зависимости от уровня привилегий соединения с базой данных, эксплуатация этой уязвимости может привести к несанкционированным изменениям записей, удалению данных или даже компрометации других областей системы, затрагивая целостность, конфиденциальность и доступность информации платформы.

Смягчение

Для снижения этого риска рекомендуется немедленно внедрить использование подготовленных выражений или параметризованных запросов, гарантируя, что весь ввод от пользователя обрабатывается исключительно как данные, а не как часть SQL-логики. Кроме того, необходимо применить строгую проверку и нормализацию ввода, ограничив принимаемые типы символов и обеспечив соответствие предоставленных параметров ожиданиям. Такой подход значительно снижает возможность злонамеренного манипулирования запросами, укрепляя безопасность приложения и защищая конфиденциальные данные клиентов от несанкционированного доступа.