?? Broken Access Control

Broken Access Control ocurre cuando una aplicación no verifica correctamente si un usuario tiene permiso para realizar una acción o acceder a un recurso.

Esto puede manifestarse como:

• Acceso a cuentas de otros usuarios modificando IDs en URLs (IDOR)
• Elevación de privilegios (usuario normal ? admin)
• Acceso a endpoints de API sin autenticación
• Bypass de controles mediante manipulación de tokens/cookies
• Acceso a archivos fuera del directorio permitido (Path Traversal)

1. IDOR (Insecure Direct Object Reference)

Si una URL contiene un ID de usuario, intenta modificarlo:

# URL original (tu perfil)
GET /api/users/123/profile

# Modificando el ID para acceder a otro usuario
GET /api/users/124/profile
GET /api/users/1/profile  # Posible admin

2. Forced Browsing

Acceder directamente a rutas administrativas:

# Rutas comunes de admin sin protección
/admin
/admin/dashboard
/api/admin/users
/api/v1/internal/config
/.env
/backup.sql

3. Manipulación de Roles

Modificar par�metros de rol en requests:

// Request original
{
  "username": "user123",
  "email": "user@example.com"
}

// Agregando campo de rol
{
  "username": "user123",
  "email": "user@example.com",
  "role": "admin",
  "isAdmin": true
}

Código Seguro (Node.js/Express)

// Middleware de autorización
const checkOwnership = async (req, res, next) => {
  const resourceId = req.params.id;
  const userId = req.user.id; // Del JWT verificado
  
  const resource = await Resource.findById(resourceId);
  
  // Verificar que el recurso pertenece al usuario
  if (!resource || resource.ownerId !== userId) {
    return res.status(403).json({ 
      error: 'Access denied' 
    });
  }
  
  next();
};

// Uso en rutas
app.get('/api/users/:id/profile', 
  authMiddleware, 
  checkOwnership, 
  profileController
);

Mejores Prácticas

• Implementar control de acceso en el servidor, nunca confiar en el cliente
• Usar UUIDs en lugar de IDs secuenciales predecibles
• Validar permisos en cada request (no cachear decisiones de acceso)
• Implementar rate limiting para prevenir enumeración
• Loggear todos los intentos de acceso fallidos
• Usar frameworks con controles de acceso probados (RBAC, ABAC)

Practica en entornos seguros y legales: