Mass Assignment
L'affectation en masse survient quand un framework lie automatiquement les paramètres de requête aux propriétés d'un objet, permettant à un attaquant de définir des propriétés non prévues (p. ex. isAdmin).
Objectif
Comprendre l'élévation de privilèges causée par la liaison automatique de propriétés et ses défenses ; une vulnérabilité courante dans Rails/Express.
Mécanisme
Le framework lie automatiquement les clés JSON aux propriétés du modèle ; un attaquant ajoute isAdmin:true à la requête pour élever ses privilèges. Défenses : listes blanches de propriétés (strong params), DTO, affectation explicite.
Cas d’usage
- Défense contre l'élévation de privilèges
- Audit de la liaison de propriétés
- Sécurité des API