Flowchart · Broken Access Control
IDOR: thiếu bước kiểm tra quyền sở hữu
IDOR: thiếu bước kiểm tra quyền sở hữu
Server nhận id từ request; nếu không kiểm tra người gọi có sở hữu bản ghi thì trả dữ liệu của người khác, nếu có kiểm tra thì chỉ chủ sở hữu hoặc admin được truy cập, còn lại bị từ chối 403.
GET /{id}
KHÔNG KIỂM TRA
CHỦ / ADMIN
KHÔNG PHẢI CHỦ
Người dùng đã đăng nhập
đổi id trong URL
Server nhận id từ request
/profile/{id}
Người gọi sở hữu
bản ghi này?
Lộ dữ liệu người khác
lỗ hổng IDOR
Trả bản ghi
200 OK
Từ chối truy cập
403 Forbidden
CHÚ GIẢI
Server thiếu kiểm tra quyền (lỗi)
Đường đúng khi có kiểm tra quyền
© tiennhm