Les API d'administration ouvertes de DavaIndia ont donné à des inconnus un contrôle de super-administrateur sur sa pharmacie

DavaIndia Pharmacy, la branche de vente au détail de Zota Healthcare, dont le siège est au Gujarat, était en pleine expansion — plus de 2 300 magasins à travers l'Inde, 276 nouveaux points de vente annoncés en janvier, et des projets pour 1 200 à 1 500 autres d'ici deux ans. Selon le chercheur en sécurité Eaton Zveare, son site web utilisait des interfaces de programmation d'applications (API) « super admin » non sécurisées.

La faille permettait à des utilisateurs non authentifiés de créer des comptes de super-administrateur dotés de privilèges élevés. À partir de là, un attaquant pouvait consulter des milliers de commandes en ligne contenant des informations sur les clients, modifier les fiches produits et les prix, créer des coupons de réduction, changer quels médicaments nécessitaient une ordonnance et modifier le contenu du site — de quoi permettre une défiguration ou une perturbation.

Zveare a signalé le problème au CERT-In, l'agence indienne de cybersécurité d'urgence, en août 2025. La vulnérabilité a été corrigée en quelques semaines, bien que la confirmation de l'entreprise ne soit parvenue aux autorités que fin novembre. Les courriels de TechCrunch au PDG de Zota, Sujit Paul, sont restés sans réponse ; rien n'indiquait que la faille avait été exploitée avant sa correction.

Près de 17 000 commandes en ligne — noms, téléphones, courriels, adresses, montants payés et produits achetés — exposées, ainsi que des contrôles d'administration couvrant 883 magasins, pendant environ un an.

L'expansion rapide des magasins a dépassé la revue de sécurité — les interfaces vulnérables étaient livrées avec la plateforme et sont restées actives depuis fin 2024.

Les achats en pharmacie sont sensibles par nature : les données de commande peuvent révéler des problèmes de santé et des achats embarrassants, même sans usage malveillant.

Un point de terminaison de création d'administrateur non authentifié est une catégorie de bug qui se corrige d'un seul coup et qui n'aurait jamais dû survivre un an en production.

Les interfaces d'administration sont une surface d'attaque : les données de commande d'une pharmacie sont des données de santé, et un point de terminaison de création d'administrateur non authentifié est une pharmacie dont la porte est ouverte.

Le bug a été corrigé dans les semaines suivant le signalement au CERT-In d'août 2025, la confirmation ayant été fournie aux autorités de cybersécurité fin novembre 2025 ; le chercheur a divulgué l'information après la correction.