Vulnerabilidades expõem dados em aplicações web da Johnson & Johnson

A análise do código-fonte revela um erro clássico de arquitetura de segurança. O sistema de recrutamento integrava a Microsoft Authentication Library no front-end. O back-end ignorava o token e validava requisições com uma chave de API embutida. Pesquisadores modificaram o MSAL localmente para simular um login e acessar rotas restritas. O sistema de auditoria apresentou uma falha ainda mais crítica. A API de listagem de usuários não exigia autenticação. O pesquisador extraiu o identificador de um administrador, injetou dados falsos no armazenamento local e forjou um identificador de sessão. O servidor aceitou a requisição sem validar o token de portador.

Proteger rotas apenas no cliente é uma ilusão de segurança. Qualquer pessoa pode inspecionar o código, modificar o comportamento e contornar a interface. A autenticação real deve acontecer no servidor, validando o token em cada requisição. O caso também expõe a fragilidade dos programas de reporte corporativos. A empresa corrigiu a primeira falha em dias. Porém, ignorou o vazamento de dados de auditoria por seis meses. A correção só ocorreu após a intervenção de jornalistas. A responsabilidade de divulgação muitas vezes esbarra na burocracia das grandes corporações.