Referencia directa a objeto insegura

La referencia directa a objetos insegura ( IDOR ) es un tipo de vulnerabilidad de control de acceso en la seguridad digital. ^{[ 1 ]}

Esto puede ocurrir cuando una aplicación web o una interfaz de programación de aplicaciones utiliza un identificador para acceder directamente a un objeto en una base de datos interna , pero no verifica el control de acceso ni la autenticación . Por ejemplo, si la URL de la solicitud enviada a un sitio web utiliza directamente un identificador único fácilmente enumerable (como https://example.com/document/1234), esto puede proporcionar una vulnerabilidad que permita el acceso no deseado a todos los registros.

Un ataque de recorrido de directorio se considera un caso especial de un IDOR. ^{[ 2 ]}

La vulnerabilidad es de tal importancia que durante muchos años figuró como una de las 10 principales vulnerabilidades del Open Web Application Security Project (OWASP) . ^{[ 3 ]} 

Los identificadores consecutivos pueden convertirse en claves oscuras utilizando varias técnicas. ^{[ 4 ]}

En noviembre de 2020, la empresa Silent Breach identificó una vulnerabilidad IDOR en el sitio web del Departamento de Defensa de los Estados Unidos y la reportó de forma privada a través del Programa de Divulgación de Vulnerabilidades del Departamento de Defensa. El error se solucionó agregando un mecanismo de sesión de usuario al sistema de cuentas, que requeriría la autenticación previa en el sitio. ^{[ 5 ]}

Se informó que el servicio de redes sociales Parler utilizaba identificadores de publicaciones secuenciales, lo que permitió extraer terabytes de datos del servicio en enero de 2021. El investigador responsable del proyecto afirmó que esta información era inexacta. ^{[ 6 ] [ 7 ]}