ZERODAY / تقرير أمنيمثال توضيحي
نسخة تصل إلى الحساب الخطأ.
النتيجة R–01خطورة عالية
الوصول إلى فواتير حساب آخر
- مسار الهجوم
- وثق مسار الفواتير (GET /api/v2/invoices/{id}) معرّفًا تسلسليًا من الرابط ولم يتحقق من أن الفاتورة تخص الحساب الطالب. أدى إنقاص المعرّف من مستخدم عادي إلى قراءة فواتير حسابات أخرى.
- الدليل
- أُنشئ حسابان ضمن قواعد الاشتباك. طلب الحساب «أ» المعرّف 41022؛ وباستبداله بمعرّف يملكه الحساب «ب» أعاد فاتورة «ب» — الاسم والعنوان وبنود الفاتورة — باستخدام جلسة «أ». حُفظ الطلب والرد وبُصِما.
- الأثر
- يستطيع أي مستأجر مُصادق تعداد وقراءة سجلات فوترة كل مستأجر آخر. كشف بيانات شخصية وتجارية عبر المستأجرين دون أي تصعيد صلاحيات.
- المعالجة
- فرض تحقق ملكية من جهة الخادم (يجب أن يطابق حساب الفاتورة حساب الطالب) قبل إعادة السجل، والانتقال إلى معرّفات غير تسلسلية كدفاع إضافي. تحقق منها مشغّل زيرو داي، لا المحرك.
- إعادة الاختبار
- أُضيف تحقق الملكية، وأُعيد الاختبار بالحسابين نفسيهما — لم تعد القراءة عبر المستأجرين ممكنة. مغلقة.
سيناريو افتراضي للتوضيح. لا يتضمن بيانات عملاء أو نتائج اختبار حقيقي.
