APIs administrativas abertas da DavaIndia deram a estranhos controle de superadministrador sobre sua farmácia

A DavaIndia Pharmacy, braço varejista da Zota Healthcare, sediada em Gujarat, estava em forte expansão — mais de 2.300 lojas em toda a Índia, 276 novos pontos anunciados em janeiro e planos para outros 1.200 a 1.500 em dois anos. Seu site, segundo o pesquisador de segurança Eaton Zveare, operava interfaces de programação de aplicações (APIs) de "superadministrador" inseguras.

A falha permitia que usuários não autenticados criassem contas de superadministrador com altos privilégios. A partir daí, um atacante poderia visualizar milhares de pedidos on-line contendo informações de clientes, modificar listagens e preços de produtos, criar cupons de desconto, alterar quais medicamentos exigiam receita e editar o conteúdo do site — o suficiente para desfiguração ou interrupção.

Zveare relatou o problema ao CERT-In, a agência indiana de emergências cibernéticas, em agosto de 2025. A vulnerabilidade foi corrigida em poucas semanas, embora a confirmação da empresa tenha chegado às autoridades apenas no final de novembro. Os e-mails do TechCrunch ao CEO da Zota, Sujit Paul, não obtiveram resposta; não houve indício de que a falha tenha sido explorada antes da correção.

Quase 17.000 pedidos on-line — nomes, telefones, e-mails, endereços, valores pagos e produtos comprados — expostos, além de controles administrativos abrangendo 883 lojas, por cerca de um ano.

A rápida expansão de lojas superou a revisão de segurança — as interfaces vulneráveis vieram com a plataforma e permaneceram ativas desde o final de 2024.

Compras em farmácias são sensíveis por natureza: os dados de pedidos podem revelar condições de saúde e compras embaraçosas mesmo sem uso indevido.

Um endpoint de criação de administrador sem autenticação é uma classe de bug de correção única que nunca deveria sobreviver um ano em produção.

Superfícies administrativas são superfície de ataque: os dados de pedidos de uma farmácia são dados de saúde, e um endpoint de criação de administrador sem autenticação é uma farmácia destrancada.

O bug foi corrigido em poucas semanas após o relato ao CERT-In em agosto de 2025, com confirmação fornecida às autoridades cibernéticas no final de novembro de 2025; o pesquisador divulgou o caso após a correção.