Parámetro GET sin sanitización en módulo de consulta pública de la plataforma estadística de CEPAL (Comisión Económica para América Latina, ONU). El parámetro era directamente concatenado en una query MySQL ejecutada con privilegios de root@%.

• Extracción completa de base de datos estadística
• Acceso a credenciales de usuarios internos
• Potencial RCE vía INTO OUTFILE (MySQL root@%)
• Afectaba datos públicos de 33 países de América Latina

Uso de prepared statements / parámetros vinculados. Principio de mínimo privilegio en cuentas de BD. WAF con reglas de inyección SQL.

Archivo phpinfo.php accesible públicamente en servidor de producción de CEPAL. Exponía versión exacta de PHP, módulos cargados, rutas del sistema, variables de entorno y configuración de Apache.

• PHP 7.2.x (versión con CVEs conocidos al momento)
• Rutas absolutas del servidor (/var/www/...)
• Variables de entorno con rutas de configuración
• Módulos: mysql, curl, openssl — información para fingerprinting

Eliminar o restringir acceso a archivos phpinfo.php en producción. Deshabilitar display_errors y expose_php en php.ini.

Parámetro de URL procesado por JavaScript en el cliente sin sanitización previa antes de ser insertado en el DOM vía innerHTML. Encontrado en módulo de búsqueda de la plataforma Drupal 10 de CEPAL.

• Robo de sesión de usuarios autenticados
• Defacement visual del sitio vía URL maliciosa
• Phishing dirigido usando dominio legítimo de ONU
• Posible bypass de CSP si misconfigured

Sanitizar inputs antes de insertarlos en el DOM. Usar textContent en lugar de innerHTML. Implementar CSP estricta con nonce. Actualizar Drupal al último minor release.