Las API de administración abiertas de DavaIndia dieron a desconocidos control de superadministrador de su farmacia

DavaIndia Pharmacy, el brazo minorista de Zota Healthcare, con sede en Gujarat, estaba creciendo con fuerza: más de 2.300 tiendas en toda India, 276 nuevos locales anunciados en enero y planes para otros 1.200 a 1.500 en dos años. Su sitio web, según descubrió el investigador de seguridad Eaton Zveare, ejecutaba interfaces de programación de aplicaciones (API) de "superadministrador" inseguras.

El fallo permitía a usuarios no autenticados crear cuentas de superadministrador con altos privilegios. Desde ahí, un atacante podía ver miles de pedidos en línea con información de clientes, modificar listados de productos y precios, crear cupones de descuento, cambiar qué medicamentos requerían receta y editar el contenido del sitio, lo suficiente para la desfiguración o la interrupción.

Zveare reportó el problema a CERT-In, la agencia india de ciberseguridad de emergencia, en agosto de 2025. La vulnerabilidad se corrigió en semanas, aunque la confirmación de la empresa llegó a las autoridades solo a finales de noviembre. Los correos de TechCrunch al CEO de Zota, Sujit Paul, quedaron sin respuesta; no hubo indicios de que el fallo se hubiera explotado antes de ser parcheado.

Casi 17.000 pedidos en línea —nombres, teléfonos, correos electrónicos, direcciones, importes pagados y productos comprados— expuestos, además de controles de administración que abarcaban 883 tiendas, durante aproximadamente un año.

La rápida expansión de tiendas superó la revisión de seguridad: las interfaces vulnerables se entregaron con la plataforma y permanecieron activas desde finales de 2024.

Las compras en farmacia son sensibles por defecto: los datos de pedidos pueden revelar condiciones de salud y compras embarazosas incluso sin uso indebido.

Un endpoint de creación de administradores sin autenticación es una clase de error que se corrige de una sola vez y que nunca debería sobrevivir un año en producción.

Las superficies de administración son superficie de ataque: los datos de pedidos de una farmacia son datos de salud, y un endpoint de creación de administradores sin autenticación es una farmacia sin llave.

El error se corrigió en semanas tras el informe a CERT-In de agosto de 2025, con confirmación proporcionada a las autoridades cibernéticas a finales de noviembre de 2025; el investigador divulgó la información después de la corrección.