Usuários autenticados com acesso de leitura a centros ou tabelas de dados específicas podem realizar injeção de SQL cega baseada em tempo. Isso ocorre porque a aplicação concatena parâmetros de ordenação fornecidos pelo usuário diretamente na cláusula SQL ORDER BY, ignorando a validação de entrada baseada em regex existente. Os endpoints de API afetados são '/api/v1/centers', '/api/v1/datatables/{datatable}/{apptableId}' e '/api/v1/datatables/{datatable}/{apptableId}/{datatableId}'. Os parâmetros vulneráveis são `orderBy`, `sortOrder` e `order`.