LEVEL 10 · Computer Security

IDOR

আইডিওআর

Insecure Direct Object Reference — authenticated কিন্তু ownership-check-হীন endpoint, যেখানে ID বদলালেই অন্যের data দেখা যায়।

also: insecure-direct-object-reference, broken-object-level-authorization

GET /api/orders/1234        ← valid session থাকলেই serve, owner-check নেই
GET /api/orders/1235        ← অন্য user-এর order, একই ভাবে ফেরত আসে

Authentication ঠিক থাকে (valid session/token লাগে), কিন্তু authorization ভাঙা — “logged in কি না” চেক আছে, “এই resource-এর owner কি না” চেক নেই
OWASP Top 10-এ Broken Access Control-এর সবচেয়ে সাধারণ concrete রূপ
ফিক্স এক লাইনের: প্রতিটা lookup-এ resource.owner_id == current_user.id explicit যাচাই — এটাই “confused deputy” সমস্যার সবচেয়ে সাধারণ real-world উদাহরণ