CVE-2022-43162

O Online Diagnostic Lab Management System 1.0 tem uma injeção de SQL no parâmetro id de /tests/view_test.php. Um atacante que consiga alcançar aquele endpoint com o privilégio requerido pode manipular a consulta para ler, alterar ou destruir o conteúdo do banco de dados, o que, em um aplicativo de gestão laboratorial, significa registros de pacientes e de exames. As métricas listam privilégios altos como pré-condição, então isto é um usuário autenticado abusando do parâmetro, e não um ataque anônimo da internet.

Esta é uma pequena aplicação PHP de propósito específico, do tipo que aparece em implantações restritas em vez de por toda a internet em escala, então não atrai a atenção de varredura por botnets que um CMS popular atrai. O requisito de privilégio estreita ainda mais o atacante realista a alguém que já tem uma conta. A sensibilidade dos dados que ela guarda é a razão para se importar, apesar do ritmo modesto de exploração.

Dado o alcance de nicho, nosso primeiro movimento é simplesmente estabelecer se operamos esta aplicação em algum lugar, e, em caso afirmativo, se ela é acessível pela internet. Para um aplicativo sob medida como este, o controle de maior alavancagem muitas vezes é remover a exposição externa e colocar imposição de consultas parametrizadas ou uma regra de WAF na frente de view_test.php, já que um projeto v1.0 pode não receber correções oportunas do upstream.