IDOR · Insecure Direct Object Reference
Un numéro changé.
Des données volées.
Pas besoin d'être hacker. En modifiant un simple chiffre dans l'URL, n'importe qui peut accéder aux données d'un autre utilisateur : salaires, coordonnées bancaires, informations médicales.
monentreprise.com/rh/bulletin?employe_id=1042
Bulletin de salaire
MonEntreprise — Espace RH
AM
Alice MartinAM
Alice Martin
Responsable Marketing · #1042
Salaire brut3 850,00 €
Salaire net3 267,65 €
IBANFR76 3000 6000 0112 3456 7890 189
Adresse14 rue des Lilas, 75011 Paris
Étape 1 sur 3
Vous consultez votre bulletin de salaire
Connecté(e) en tant qu'Alice Martin — Responsable Marketing
Une URL qui contient votre identifiant
Votre espace RH affiche vos données via un numéro présent directement dans l'adresse de la page. Ce numéro identifie votre dossier dans la base de données. Rien d'anormal ici.
Chiffres clés
#0
OWASP Top 10
Broken Access Control
< 0 sec
Pour exploiter
sans outil spécialisé
0
Alerte générée
L'attaque est invisible
0 K€
Amende CNIL (SERGIC)
faille d'accès — 2019