IDOR — כשמספר ב-URL פותח דלת לנתונים של אחרים

דמיינו שאתם צופים בחשבונית שלכם בכתובת:
example.com/invoice?id=1043

מה יקרה אם תשנו ל-id=1044? אם פתא​ום אתם רואים את החשבונית של מישהו אחר — זו IDOR (Insecure Direct Object Reference).

למה זה קורה?

האפליקציה משתמשת בקלט (המזהה) כדי להביא נתון — אבל לא בודקת אם המשתמש מורשה לראות אותו. היא סומכת על כך שלא תשנו את המספר.

למה זה מסוכן?

• חשיפת נתונים אישיים של משתמשים אחרים.
• לפעמים גם שינוי/מחיקה של נתוני אחרים.
• קל לניצול — לא צריך כלים מתוחכמים, רק לשנות מספר.

איך מתגוננים?

• בדיקת הרשאות בצד השרת בכל גישה למשאב: "האם המשתמש המחובר באמת הבעלים של פריט 1044?"
• שימוש במזהים לא-צפויים (UUID במקום 1,2,3) — מקשה, אבל לא מחליף בדיקת הרשאה.

הלקח: לעולם אל תסמכו שהמשתמש "לא ישנה את המספר". בדקו הרשאה תמיד, בכל בקשה.