在负责搜索平台客户（Zentrajuris v.1.0）的端点中发现了 SQL 注入漏洞。发送到搜索参数的用户输入未经适当的清理/参数化处理，直接拼接到 SQL 查询中，从而使攻击者能够操控该查询。
iqopgbljnxmxlzvzbvgy.supabase.co/rest/v1/clients
添加参数 ?select=*&limit=100，并将 Accept 头部改为 application/json
Accept: application/json
在负责客户搜索的端点中发现的 SQL 注入漏洞对平台构成了重大的安全风险，因为它允许数据库将用户提供的输入直接解释为 SQL 命令。该缺陷使恶意攻击者能够操控查询，以访问、修改或窃取敏感信息，包括数据库中存储的客户个人数据，如姓名、电子邮件地址、身份证件以及其他机密信息。此外，根据与数据库连接的权限级别，利用该漏洞可能导致未授权的记录更改、数据删除，甚至危及系统的其他区域，从而影响平台信息的完整性、保密性和可用性。
为缓解此风险，建议立即采用预编译语句或参数化查询，确保所有用户提供的输入仅被视为数据，而非 SQL 逻辑的一部分。此外，必须实施严格的输入验证和规范化，限制可接受的字符类型，并确保所提供的参数符合预期。这种方法将大幅降低恶意查询操控的可能性，增强应用程序的安全性，并保护敏感的客户数据免受未经授权的访问。