Mass Assignment
Massenzuweisung liegt vor, wenn ein Framework Request-Parameter automatisch an Objekteigenschaften bindet, sodass Angreifer unbeabsichtigte Eigenschaften setzen können (z. B. isAdmin).
Zweck
Verständnis der durch automatische Eigenschaftsbindung verursachten Rechteausweitung und ihrer Abwehr; eine häufige Schwachstelle in Rails/Express.
Mechanismus
Das Framework bindet JSON-Schlüssel automatisch an Modelleigenschaften; ein Angreifer hängt isAdmin:true an die Anfrage an, um Rechte auszuweiten. Abwehr: Eigenschafts-Whitelists (strong params), DTOs, explizite Zuweisung.
Anwendungsfälle
- Abwehr von Rechteausweitung
- Audit der Eigenschaftsbindung
- API-Sicherheit