Um usuário autenticado com permissões para visualizar clientes pode explorar uma Injeção de SQL baseada em booleano no endpoint da API de Busca de Clientes '/api/v1/clients'. O problema ocorre porque os parâmetros `orderBy` e `sortOrder` são concatenados em uma consulta SQL sem a validação suficiente. Isso permite a extração de dados via blind boolean-based e, especificamente no MySQL ou MariaDB, a divulgação de arquivos arbitrários legíveis pelo processo do banco de dados através da função `LOAD FILE()`.