SOSL Injection

A execução de consultas SOSL com dados de fontes não confiáveis pode permitir acesso a dados não autorizados.

A SOSL (Salesforce Object Search Language) é a linguagem de pesquisa da plataforma Salesforce usada para realizar pesquisas de texto em registros. Use a SOSL para procurar campos em vários registros de objetos padrão e personalizados no Salesforce.

Erros de injeção de SOSL ocorrem quando:

1. Os dados entram em um programa por uma fonte não confiável.


2. Os dados são usados para construir dinamicamente uma consulta SOSL, sem qualquer tipo de pré-processamento ou sanitização.
Exemplo 1: O código a seguir constrói e executa dinamicamente uma consulta SOSL que procura contatos com um nome especificado.

...
public String inputValue {
  get { return inputValue; }
  set { inputValue = value; }
}
...
String queryString = 'Name LIKE \'%' + inputValue + '%\'';
String searchString = 'Acme';
String searchQuery = 'FIND :searchString IN ALL FIELDS RETURNING Contact (Id WHERE ' + queryString + ')';
List<List<SObject>> results = Search.query(searchQuery);
...

Este código pretende executar a consulta da seguinte maneira:

String searchQuery = 'FIND :searchString IN ALL FIELDS RETURNING Contact (Id WHERE Name LIKE '%' + inputValue + '%')';

No entanto, como a consulta é construída dinamicamente por meio da concatenação de uma string de consulta base constante e de uma string de entrada do usuário, ela apenas se comportará corretamente se inputValue não contiver um caractere de aspas simples. Se um invasor inserir a string 1%' OR Name LIKE ' para inputValue, a consulta se tornará a seguinte:

String searchQuery = 'FIND :searchString IN ALL FIELDS RETURNING Contact (Id WHERE Name LIKE '%1%' OR Name LIKE '%%')';

A adição da condição OR Name like '%%' faz com que a cláusula "where" use a condição LIKE '%%', o que forçará a consulta a processar a saída de todos os registros que contêm a frase "map", já que ela se torna logicamente equivalente à consulta muito mais simples:

FIND 'map*' IN ALL FIELDS RETURNING Contact (Id WHERE Name LIKE '%%')

Ao contrário da maioria das interfaces de banco de dados, a SOSL na plataforma force.com não oferece suporte a várias instruções SOSL separadas por caracteres de ponto-e-vírgula, o que significa que não é possível concatenar vários comandos em uma única consulta, como é o caso com ataques comuns de SQL Injection. Observe também que o banco de dados Apex não oferece suporte a comentários e, portanto, todas as aspas simples, parênteses ou outros caracteres especiais devem ter um par.