A7: Missing Function Level Access Control · 2013

Funciones o endpoints sensibles quedan disponibles para identidades sin el rol requerido porque el control existe solo en la interfaz o está incompleto.

Resumen

Funciones o endpoints sensibles quedan disponibles para identidades sin el rol requerido porque el control existe solo en la interfaz o está incompleto.

Cómo funciona el ataque

La interfaz oculta una función administrativa, pero el endpoint no verifica el rol y acepta solicitudes de usuarios comunes.

Ejemplo

Vulnerable · Pseudocódigo

POST /admin/reports/export
Cookie: session=reader
return export_all_reports()

Corrección: Comprobar el rol autorizado en el servidor antes de ejecutar cada función.

Prevención

Aplicar control de acceso en el servidor para cada función.
Denegar por defecto y reutilizar una política de autorización central.
Probar endpoints directamente, sin depender de la navegación visible.

Linaje

2013 · A4: Insecure Direct Object References Se fusiona en Broken Access Control
2013 · A7: Missing Function Level Access Control Se fusiona en Broken Access Control
2017 · A5: Broken Access Control Sube al puesto 1 en 2021
2021 · A01: Broken Access Control Sube desde A5:2017
2021 · A10: Server-Side Request Forgery (SSRF) Nueva en 2021
2025 · A01: Broken Access Control Consolida SSRF y permanece en el puesto 1

2013:A4 → 2017:A5: IDOR se integra en Broken Access Control.
2013:A7 → 2017:A5: Missing Function Level Access Control se integra en Broken Access Control.
2017:A5 → 2021:A01: Broken Access Control sube del puesto 5 al 1.
2021:A01 → 2025:A01: Broken Access Control permanece en el puesto 1.
2021:A10 → 2025:A01: SSRF se consolida dentro de Broken Access Control.

Fuentes

Abrir fuente oficial ↗

Invítame un café