Análise de vulnerabilidade do arquivo html/atendido/familiar_parentesco_listar.php

[joaopontes22]

Vulnerability Analysis Vulnerabilidades encontradas:

1. Exposição de informações sensíveis: O trecho de código exibe os dados da tabela "atendido_parentesco" em formato JSON sem aplicar nenhum tipo de filtragem, o que pode expor informações sensíveis para usuários não autorizados. Recomenda-se aplicar alguma forma de controle de acesso aos dados exibidos, de acordo com as permissões do usuário logado.

2. Injeção de SQL: Caso a tabela "atendido_parentesco" contenha dados manipulados pelo usuário, este código está sujeito a ataques de Injeção de SQL. Recomenda-se utilizar consultas preparadas ou procedimentos de filtragem para evitar esse tipo de vulnerabilidade.

3. Ausência de tratamento de erros: O código não realiza tratamento de erros em caso de falha na conexão com o banco de dados ou na execução da consulta SQL. É importante implementar blocos try-catch ou estruturas de controle para lidar com possíveis erros e exceções.

Sugestões de correção:

1. Implementar um controle de acesso para verificar as permissões do usuário antes de exibir os dados da tabela "atendido_parentesco".
2. Utilizar consultas preparadas ou sanitizar os dados vindos da tabela antes de incluí-los na consulta SQL para prevenir Injeção de SQL.
3. Adicionar tratamento de erros para lidar com possíveis falhas na conexão ou execução da consulta SQL, fornecendo mensagens de erro apropriadas para o usuário.

Exemplo de correção para o código:

session_start();
if (!isset($_SESSION["usuario"])){
    header("Location: ../../index.php");
    exit();
}

// Verifica Permissão do Usuário
require_once '../permissao/permissao.php';
if (!permissao($_SESSION['id_pessoa'], 11, 7)) {
    echo "Você não tem permissão para acessar esta página.";
    exit();
}

try {
    require_once "../../dao/Conexao.php";
    $pdo = Conexao::connect();
    $parentesco = $pdo->query("SELECT * FROM atendido_parentesco ORDER BY parentesco ASC;");
    $parentesco = $parentesco->fetchAll(PDO::FETCH_ASSOC);
    $parentesco = json_encode($parentesco);
    echo $parentesco;
} catch (PDOException $e) {
    echo "Erro ao acessar os dados: " . $e->getMessage();
}

Neste exemplo de correção, foram adicionados controles de acesso, tratamento de erro e a função de permissão foi ajustada para retornar um valor booleano para indicar se o usuário tem permissão ou não. Além disso, é recomendado implementar melhorias adicionais de segurança e boas práticas de programação, de acordo com as necessidades do sistema em questão.

[GabrielPintoSouza]

Correção do código aplicada no seguite commit

[GabrielPintoSouza]

Feedback

• O comentário foi útil? 5 = Muito útil
• O erro foi fácil de localizar? 5 = Muito fácil
• Foi possível corrigir? Sim
• O quão fácil de corrigir? 5 = Muito fácil