BOLA e IDOR: revise o acesso ao objeto concreto
Conhecer o identificador não é evidência de autorização.
Segurança de APIs
Controle de acesso a objetos, integrações e integridade de operações em APIs.
Leituras neste tema
APIs REST: proteja também a ordem das operações
Endpoints corretos isoladamente podem formar um fluxo incorreto.
SSRF: buscar uma URL é conceder capacidade de rede
A funcionalidade precisa de limites de destino e comportamento.
Transações: a confirmação precisa representar a operação executada
O usuário deve autorizar os parâmetros que produzem o efeito.
Thiago Lima Soneti da Silva (Thiago Silva) — Cyber Architect e responsável técnico pela Lima e Silva Tecnologia.