Если ты видишь в ответе от сервера значение с именем
id — не проходи мимо. Попробуй найти, где ещё этот id используется в других запросах.💡 Такие эндпоинты часто уязвимы к проблемам контроля доступа:
▪️ IDOR (Insecure Direct Object Reference),
▪️ BOLA (Broken Object Level Authorization),
▪️ или Function Level Access Control.
⁉️ Если не знаешь, с чего начать анализ API — начни с этого. Во многих системах проверяют сам факт наличия
id, но не проверяют, чей он и можно ли тебе его вообще видеть.