A4: Insecure Direct Object References · 2013

Referencias directas a objetos permiten acceder a recursos ajenos cuando el servidor confía en un identificador sin verificar autorización.

Resumen

Referencias directas a objetos permiten acceder a recursos ajenos cuando el servidor confía en un identificador sin verificar autorización.

Cómo funciona el ataque

Un usuario cambia el identificador de un objeto en la API; el servidor omite la autorización y devuelve datos de otra persona.

Ejemplo

Vulnerable · Pseudocódigo

GET /api/invoices/1043
Cookie: session=alice
return invoices.find(id)

Corrección: Comprobar en el servidor que la factura pertenece al usuario de la sesión.

Prevención

Comprobar autorización sobre cada objeto solicitado.
Evitar depender de identificadores impredecibles como control de seguridad.
Aplicar consultas limitadas por usuario, organización o tenant.

Linaje

2013 · A4: Insecure Direct Object References Se fusiona en Broken Access Control
2013 · A7: Missing Function Level Access Control Se fusiona en Broken Access Control
2017 · A5: Broken Access Control Sube al puesto 1 en 2021
2021 · A01: Broken Access Control Sube desde A5:2017
2021 · A10: Server-Side Request Forgery (SSRF) Nueva en 2021
2025 · A01: Broken Access Control Consolida SSRF y permanece en el puesto 1

2013:A4 → 2017:A5: IDOR se integra en Broken Access Control.
2013:A7 → 2017:A5: Missing Function Level Access Control se integra en Broken Access Control.
2017:A5 → 2021:A01: Broken Access Control sube del puesto 5 al 1.
2021:A01 → 2025:A01: Broken Access Control permanece en el puesto 1.
2021:A10 → 2025:A01: SSRF se consolida dentro de Broken Access Control.

Fuentes

Abrir fuente oficial ↗

Invítame un café