Referencia de Objeto Directo Insegura
IDOR (Insecure Direct Object Reference), se refiere a la vulnerabilidad de access control donde puedes acceder a recursos que no deberías de ver. Esto ocurre cuando el programador expone una referencia de objeto directo, que es un identificador que se refiere a objetos específicos dentro del servidor. Por objeto podemos referirnos a un archivo, usuario, cuenta de banco o cualquier cosa.
Digamos que estamos iniciando sesión en nuestra cuenta del banco, y después de autentificarnos correctamente, nos lleva a una URL como https://bank.thm/account?id=111111. En esa página podemos ver nuestros detalles sensibles.
Si el sitio está configurado incorrectamente y alguien cambia el valor de id, ahora puede acceder a la cuenta de cada usuario.
La aplicación expone un objeto de referencia a través del parámetro id en la URL, que apunta a cuentas concretas. Ya que la aplicación no está comprobando si el usuario logueado es propietario de la cuenta referenciada, un atacante puede conseguir información sensible gracias a una vulnerabilidad IDOR.