Terence Monteiro

توجد مشكلة في نقطة نهاية واجهة برمجة تطبيقات تنفيذ التقارير (Report Execution API) «runreports»، حيث يتم دمج قيم معلمات التقرير في استعلام SQL الذي يتم إنشاؤه دون إجراء التحقق الكافي من صحتها. وهذا يسمح للمستخدم المصادق عليه الذي يمتلك أذونات تنفيذ التقارير بحقن أوامر SQL تعسفية من خلال قيم معلمات مصممة خصيصًا، مما قد يؤدي إلى وصول غير مصرح به إلى البيانات خارج النطاق المقصود للتقرير.

يمكن للمستخدم المصادق عليه الذي يمتلك أذونات لعرض العملاء استغلال ثغرة حقن SQL قائمة على القيم المنطقية (boolean) في نقطة نهاية واجهة برمجة تطبيقات (API) البحث عن العملاء ’/api/v1/clients‘. تحدث هذه المشكلة لأن المعلمتين `orderBy` و`sortOrder` يتم ربطهما في استعلام SQL دون إجراء التحقق الكافي من صحتهما. وهذا يسمح باستخراج البيانات بشكل أعمى باستخدام القيم المنطقية، وبشكل خاص في قواعد البيانات MySQL أو MariaDB، بالكشف عن ملفات عشوائية يمكن لعملية قاعدة البيانات قراءتها من خلال الدالة `LOAD FILE()`.

يمكن للمستخدم المصادق عليه الذي يمتلك أذونات لعرض المكاتب تنفيذ حقن SQL أعمى قائم على الوقت عبر نقطة نهاية «Office Search API» «/api/v1/offices». تحدث هذه المشكلة لأن معلمة الطلب `orderBy` يتم ربطها في استعلام SQL دون تحقق كافٍ، مما يتجاوز ColumnValidator. وهذا يسمح بحقن SQL تعسفي، والذي يمكن استخدامه لتسريب البيانات. بالإضافة إلى ذلك، ونظرًا لأن الاستعلامات المحقونة تحجب اتصالات قاعدة البيانات، فإن الاستغلال المتزامن قد يستنفد مجموعة اتصالات قاعدة البيانات، مما يؤدي إلى رفض الخدمة.