Referencia directa a objetos no segura
IDOR · Un fallo de autorización que surge cuando una aplicación, al acceder a un registro por dirección o ID, no comprueba si el registro pertenece realmente al usuario que lo solicita.
- 01
Por qué importa
Es un fallo que los escáneres automáticos suelen pasar por alto pero que es muy fácil de explotar: basta con cambiar un solo número. Así se pueden descargar en bloque facturas, detalles de pedidos, documentos y perfiles de usuario. El servidor debe comprobar la propiedad en cada petición.
- 02
Ejemplo
En un portal, la dirección de descarga de la factura contiene un número secuencial. Un cliente que incrementa el número en uno puede descargar la factura de otra empresa; tras la corrección, el servidor comprueba el propietario de la factura en cada descarga.
- 03
Error frecuente
Creer que el problema queda resuelto haciendo que los IDs sean imposibles de adivinar. Los IDs aleatorios solo dificultan la adivinación; la solución real es la comprobación de propiedad en el servidor.
- 04
Términos relacionados
Servicios y guías relacionados
Hablemos de tu proyecto.
Cuéntenos lo que necesita; definiremos el alcance juntos.