Missing Function Level Access Control
La falta de control de acceso a nivel de función es que el servidor no realice comprobaciones de autorización sobre funciones o endpoints concretos, confiando solo en ocultar menús del front-end.
Propósito
Entender que ocultar el front-end no es seguridad y que se requiere autorización en el servidor; un defecto habitual de control de acceso.
Mecanismo
El front-end oculta el menú de administración, pero el /api/admin del lado servidor carece de comprobación de autorización, así que los atacantes llaman al endpoint directamente para realizar operaciones administrativas. Defensas: comprobaciones de autorización del servidor en cada endpoint, middleware centralizado.
Casos de uso
- Auditoría de autorización a nivel de función
- Control de acceso del lado servidor
- Protección de endpoints
Herramientas relacionadas
Referencia de códigos de estado HTTP
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Gratis, privado y 100% del lado del cliente. HERRAMIENTA
Decodificador de JWT
Decode and inspect JWT header, payload, and time claims with expiry status. Gratis, privado y 100% del lado del cliente. HERRAMIENTA