LCK-2026-001CritiqueCVSS 9.1Corrigé et vérifié
Injection SQL sur paramètre `id` de l'API commandes
Contexte
L'endpoint `GET /api/orders/{id}` concaténait directement le paramètre dans une requête SQL sans préparation. Le client passait par un cookie d'authentification valide mais n'avait pas besoin d'élévation de privilège.
Impact métier
Exfiltration possible de l'intégralité de la base clients, incluant emails, hashes de mots de passe et adresses postales. Risque de fuite massive et de non-conformité RGPD.
Extrait de preuve d'exploitation (anonymisé)
GET /api/orders/1' UNION SELECT user,pwd FROM users-- HTTP/1.1
Host: app.client.example
Cookie: session=eyJ...Recommandation de remédiation
Utiliser systématiquement des requêtes paramétrées (prepared statements). Ajouter un test d'intégrité d'entrée (`uuid` strict) et un WAF en complément, jamais comme défense principale.