IDOR
Les références directes non sécurisées à des objets (IDOR) permettent aux utilisateurs d'accéder via des identifiants prévisibles à des objets qui ne leur sont pas dus, faute de vérifications de propriété.
Objectif
Comprendre l'accès non autorisé causé par des identifiants d'objets prévisibles sans contrôle d'autorisation et les défenses ; une vulnérabilité d'API courante.
Mécanisme
Une API telle que /api/orders/123 utilise directement l'identifiant d'objet sans vérifier la propriété ; les attaquants énumèrent les identifiants pour accéder aux commandes d'autres utilisateurs. Défenses : contrôles de propriété par session, identifiants imprévisibles (UUID), références indirectes.
Cas d’usage
- Défense contre l'élévation de privilèges d'API
- Audit d'autorisation d'objets
- Vulnérabilité IDOR
Outils associés
Référence des codes HTTP
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Gratuit, privé et 100% côté client. OUTIL
Analyseur d'URL
Parse a URL into its components: protocol, host, path, query, hash, port, username, and password. Gratuit, privé et 100% côté client. OUTIL