IDOR : la faille que l'IA laisse dans tes routes
L’IA fait une bourde de sécurité fréquente : les IDOR (Insecure Direct Object Reference).
C’est quoi ?
On demande à l’IA une route pour récupérer de la data. Disons une facture.
L’IA crée une route qui prend l’id de la facture et la renvoie. C’est top…
… sauf qu’elle oublie de vérifier que la facture appartient bien au user authentifié… ou pire, que le user est authentifié tout court.
Pourquoi ? Parce que tu ne l’as pas demandé.
Et l’IA code ce qu’on lui demande, pas ce qu’on oublie de demander.
Résultat : l’id dans l’URL sert de preuve d’identité. Sauf qu’un id, c’est juste un chiffre. N’importe qui peut en taper un autre.
Le test à faire sur ton app
- Crée 2 comptes sur ta propre app.
- Connecte-toi avec le compte A.
- Dans l’URL, remplace ton id par celui du compte B.
Tu vois les données de B ?
⇒ Tout le monde voit tout. Tes clients voient les factures des autres clients.
Cette faille fait partie des premières que je traque quand j’ouvre le code d’une app.