Broken Access Control
El control de acceso roto consiste en comprobaciones de autorización ausentes o evitables que permiten a los usuarios realizar acciones o acceder a recursos a los que no están autorizados.
Propósito
Comprender la escalada de privilegios causada por fallos de autorización y sus defensas; es la vulnerabilidad n.º 1 del OWASP Top 10 2021.
Mecanismo
Los fallos incluyen la navegación forzada (acceder directamente a /admin), IDOR, comprobaciones ausentes a nivel de función, omisión de métodos HTTP y manipulación de roles JWT. Defensas: comprobaciones de autorización en el servidor, denegación por defecto, política centralizada.
Casos de uso
- Auditoría de seguridad de autorización
- Defensa contra la escalada de privilegios
- Diseño de control de acceso
Herramientas relacionadas
Decodificador de JWT
Decode and inspect JWT header, payload, and time claims with expiry status. Gratis, privado y 100% del lado del cliente. HERRAMIENTA
Referencia de códigos de estado HTTP
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Gratis, privado y 100% del lado del cliente. HERRAMIENTA