آسیب‌پذیری IDOR چیست؟

فرض کنید وارد حساب کاربری خودتان شده‌اید و این آدرس را می‌بینید:

example.com/profile?id=123

حالا اگر با تغییر 123 به 124 بتوانید اطلاعات کاربر دیگری را ببینید، با یک نمونه از IDOR مواجه هستیم.

📌 نکته مهم:
مشکل صرفاً قابل حدس بودن ID نیست؛ مشکل اصلی نبودن یا اشتباه بودن کنترل دسترسی (Authorization) است.

راهکار:
سرور باید علاوه بر بررسی ورود کاربر، برای هر درخواست بررسی کند که آیا همان کاربر مجوز دسترسی به Object موردنظر را دارد یا خیر.

انجمن علمی علوم کامپیوتر
✍️#Noor
Telegram | Eitaa | Instagram