Podatności APIPrensa

Punkt końcowy '/ws/apiprensa/getVideoUltimasSeccion' zawiera podatność na wstrzyknięcie SQL w parametrze id_seccion. Parametr jest bezpośrednio osadzany w złożonym zapytaniu SQL zawierającym grupowanie i sortowanie. Wstrzyknięcie składni SQL może zakłócić strukturę zapytania i spowodować błędy bazy danych, ujawniając wewnętrzną logikę zapytań.

Punkt końcowy '/ws/apiprensa/getVideoNextPrev' jest podatny na wstrzyknięcie SQL przez parametr id_ambito. Niesanityzowane dane wejściowe są bezpośrednio włączane do zapytania MariaDB, co pozwala atakującym na wstrzyknięcie składni SQL przerywającej wykonanie zapytania. Podatność skutkuje szczegółowymi komunikatami o błędach bazy danych i ujawnia wewnętrzną strukturę zapytań.

Podatność na wstrzyknięcie SQL w punkcie końcowym '/ws/apiprensa/getVideoSubcanal' z powodu nieprawidłowego obsługiwania parametru id_video. Aplikacja nie sanityzuje danych wejściowych przed konstruowaniem zapytań SQL, co powoduje błędy wykonania przy złośliwych danych. Podatność ujawnia wewnętrzne ścieżki plików i pełne ślady stosu przez moduł obsługi błędów frameworka Slim, co zwiększa jej dotkliwość.