0

Estoy desarrollando un proyecto donde tendre un respaldo de cierta informacion originalmente alojada en bases de lotus notes. Para backend estoy usando Flask en Python 3.7. Sin embargo, despues de revisar mi codigo con la herramienta AppScreener, esta dice que tengo vulnerabilidades que pueden ser aprovechadas para realizar una inyeccion SQL, por lo que no entiendo en donde puede estar el error.

El resultado que me arroja dicha herramienta es el siguiente:

for usuario in data:
print("Usuario", usuario)
  status = usuario['estatus_usuario']
  mail = usuario['email_usuario']
    cursor = conn.cursor()

    # Esta línea
    cursor.execute( "UPDATE administrador_usuarios SET estatus_usuario=%s
    WHERE email=%s;",(status,mail))

   conn.commit()
    conn.close()
  return json.dumps({"response":"ok"})

La sentencia que me marca como vulnerable es:

    cursor.execute( "UPDATE administrador_usuarios SET estatus_usuario=%s
    WHERE email=%s;",(status,mail))

pero no logro entender por qué. Cabe resaltar que soy nuevo en esto de las vulnerabilidades SQL.

De antemano gracias

2
  • Tal como la usas no es vulnerable. Sospecho que esa herramienta que usas se equivoca al interpretar la línea como si estuvieras construyendo la sentencia SQL a mano, usando el operador format %. Pero no es este el caso. Commented el 2 dic. 2019 a las 22:39
  • Prueba a cambiar %s por el placeholder ? habitual de sqlite, con lo que seguramente deje de dar problemas AppScreener. Commented el 2 dic. 2019 a las 23:20

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.