Access Control: Android Provider

Sin el control de acceso adecuado, la ejecución de una instrucción SQL que contiene una clave principal controlada por el usuario puede permitir a un usuario malintencionado ver registros no autorizados.

Los errores de control de acceso se producen en las consultas SQLite cuando:

1. Los datos entran en un programa desde un origen que no es de confianza.


2. Los datos se utilizan para especificar el valor de una clave principal en una consulta SQLite.
Ejemplo 1: el siguiente código utiliza una instrucción parametrizada, que aplica escapes a metacaracteres e impide las vulnerabilidades de inyección de cadenas de consulta para crear y ejecutar una consulta SQLite que busque una factura que coincida con un identificador especificado por el usuario.

  ...
  id = this.getIntent().getExtras().getInt("id");
  cursor = db.query(Uri.parse(invoices), columns, "id = ? ", {id}, null, null, null);
  ...
  

El problema es que el desarrollador no ha tenido en cuenta todos los valores posibles de id. Aunque la consulta genera una lista de identificadores de factura que pertenecen al usuario actual, un atacante puede omitir este comportamiento para solicitar cualquier factura que desee. Como el código de este ejemplo no garantiza que el usuario tenga permiso para acceder a la factura solicitada, se mostrará cualquier factura, aunque no pertenezca al usuario actual.