Terence Monteiro

Existe um problema na API de Execução de Relatórios no endpoint 'runreports', onde os valores dos parâmetros do relatório são incorporados na consulta SQL gerada sem a validação suficiente. Isso permite que um usuário autenticado com permissões de execução de relatórios injete SQL arbitrário por meio de valores de parâmetros manipulados, podendo levar ao acesso não autorizado a dados além do escopo pretendido do relatório.

Um usuário autenticado com permissões para visualizar clientes pode explorar uma Injeção de SQL baseada em booleano no endpoint da API de Busca de Clientes '/api/v1/clients'. O problema ocorre porque os parâmetros `orderBy` e `sortOrder` são concatenados em uma consulta SQL sem a validação suficiente. Isso permite a extração de dados via blind boolean-based e, especificamente no MySQL ou MariaDB, a divulgação de arquivos arbitrários legíveis pelo processo do banco de dados através da função `LOAD FILE()`.

Um usuário autenticado com permissões para visualizar escritórios pode realizar uma injeção de SQL cega baseada em tempo através do endpoint 'Office Search API' '/api/v1/offices'. O problema ocorre porque o parâmetro de requisição `orderBy` é concatenado em uma consulta SQL sem a validação suficiente, ignorando o ColumnValidator. Isso permite a injeção de SQL arbitrário, que pode ser utilizado para a exfiltração de dados. Além disso, como as consultas injetadas bloqueiam as conexões com o banco de dados, a exploração simultânea pode esgotar o pool de conexões do banco de dados, resultando em negação de serviço.