IDOR возникает, когда backend принимает ID объекта, но не проверяет право пользователя на этот объект. Middleware с одной проверкой входа не способен автоматически определить такое нарушение.
Каким образом уязвимость IDOR (Insecure Direct Object Reference) компрометирует данные пользователей и как ее выявляет middleware-слой?
IDOR возникает, когда backend принимает ID объекта, но не проверяет право пользователя на этот объект. Middleware с одной проверкой входа не способен автоматически определить такое нарушение.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
IDOR возникает, когда backend принимает ID объекта, но не проверяет право пользователя на этот объект. Middleware с одной проверкой входа не способен автоматически определить такое нарушение.
После аутентификации нужно разрешить конкретное действие над конкретным ресурсом через policy или ограниченную выборку в рамках пользователя/tenant. Проверяйте вложенные ресурсы, скачивания и изменение связей, а не только GET карточки. Непредсказуемый UUID затрудняет подбор, но не заменяет авторизацию. Для проверки используйте два тестовых аккаунта с разными правами.
Источник: cheatsheetseries.owasp.org.