شرح صفوف ومحتوى الفقرة
وفقاً لتقرير منظمة OWASP Top 10 العالمي لأمن تطبيقات الويب، فإن الثغرة رقم 1 الأكثر انتشاراً في المواقع الحديثة هي كسر وتجاوز الصلاحيات ()، وأشهر صورها العملية ثغرة IDOR ():
- كيف تقع ثغرة ؟ لنفترض أن المستخدم رقم سجّل دخوله وفتح فاتورته عبر الرابط ، ثم غيّر الرقم في الرابط إلى . إذا اكتفى الخادم بفحص «هل المستخدم مسجل الدخول؟» ونسِي أن يفحص «هل الفاتورة رقم 106 مملوكة فعلاً للمستخدم رقم 7؟»، فسيعرض الخادم فاتورة عميل آخر بالخطأ!
- الحل الهندسي لمنع : يجب على مطور الواجهة الخلفية فحص ملكية السجل في كل طلب ()؛ فلا يجلب الفاتورة إلا إذا كان رقمها ومملوكة للمستخدم الحالي صاحب الجلسة، وإلا يرفض الطلب فوراً بكود .
تأمل المخطط التوضيحي الآتي الذي يلخص طبقات الحماية الخمس المتكاملة داخل خادم الواجهة الخلفية:
