In un mondo digitale in cui ogni nuovo servizio online allarga la superficie di attacco, i Penetration Test non sono più solo un “check di sicurezza”, ma uno strumento essenziale per capire quanto le nostre infrastrutture reggano davvero sotto pressione.

Durante una di queste attività, il nostro Red Team ha individuato due vulnerabilità critiche su un prodotto commerciale che, se sfruttate, potrebbero portare ad una compromissione dei dati legati alla piattaforma con danni potenziali molto alti.

Dal database ai comandi sul server

All’interno della web app analizzata era presente una funzionalità di chat, pensata per recuperare informazioni presenti nel portale. Analizzando le chiamate API di questo componente, il team ha individuato quella che, in gergo tecnico, viene chiamata SQL injection: la possibilità di inviare input non validati che finiscono direttamente nelle query eseguite sui database collegati. Sfruttando questa vulnerabilità è stata ricostruita l'intera struttura del DB e sono stati estratti tutti i dati.

Successivamente, utilizzando una funzionalità di SQL avanzata e abilitando gli accessi ad una stored procedure, è stato possibile compromettere l’intero server e lanciare comandi su di esso attraverso un normale terminale.

In sintesi, partendo dalla SQL injection, la catena di attacco si è conclusa con una Remote Code Execution (RCE): in uno scenario reale quindi, la compromissione sarebbe totale e tutti i dati presenti su questo endpoint andrebbero considerati esfiltrati.

Maggiori dettagli tecnici in questo articolo: CVE-2026-51366.

La condivisione dei dati personali

Approfondendo l'analisi della chat, è stata rilevata l'assenza di controlli sui messaggi associati ai singoli utenti: qualsiasi utente autenticato sulla piattaforma potrebbe leggere la chat di un altro semplicemente conoscendone lo username.

Si tratta di una vulnerabilità categorizzata come Insecure Direct Object Reference (IDOR) che consiste nella mancanza di verifiche, da parte del server, sull'effettiva corrispondenza tra i dati richiesti e chi li richiede. La stessa tipologia di vulnerabilità ci ha permesso di leggere anche i nomi dei file legati al protocollo FTP dei singoli utenti che hanno interagito con la chat e caricato documenti su di essa.

Maggiori dettagli tecnici in questo articolo: CVE-2026_51367.

Il valore ricercato

Questo caso dimostra come un Penetration Test ben strutturato non sia solo un esercizio tecnico, ma uno strumento concreto per misurare il rischio reale delle proprie infrastrutture. Scoprire e sfruttare vulnerabilità come quelle descritte permette di comprendere fino in fondo l’impatto potenziale di una compromissione: dalla perdita di interi database all’esecuzione di comandi sui server. Solo vedendo con chiarezza cosa è possibile ottenere partendo da un singolo punto debole si possono definire priorità di remediation efficaci e investire in sicurezza in modo consapevole.

In quest’ottica, i Penetration Test e i security assessment non sono un costo, ma un moltiplicatore di valore: riducono la superficie di attacco, aumentano la resilienza e, soprattutto, trasformano la sicurezza da concetto astratto a percezione concreta di ciò che proteggiamo ogni giorno.