Выбор ответа Middle OWASP Top 10 и API Top 10 обновлено
BFLA
Вопрос
Обычный пользователь отправил DELETE /api/admin/users/42 и удалил чужой аккаунт. Как называется эта уязвимость по OWASP API Top 10?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: BFLA: нарушение авторизации на уровне функции. Проблема в том, что админская функция доступна не-админу: это Broken Function Level Authorization.
Варианты ответа
- BOLA: нарушение авторизации на уровне объекта
- BFLA: нарушение авторизации на уровне функцииправильный ответ
- Mass assignment
- Unrestricted Resource Consumption
Разбор
Проблема в том, что админская функция доступна не-админу: это Broken Function Level Authorization. BOLA про доступ к чужому объекту через обычную функцию, mass assignment про запись лишних полей, а Resource Consumption про отсутствие лимитов.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.