CyberGlossary

Vulnerabilidades

Control de acceso roto

También conocido como: BAC, Bypass de autorización

Definición

Clase de vulnerabilidades en la que las reglas de autorización faltan o se aplican mal, permitiendo a los usuarios acciones o datos fuera de sus privilegios.

El control de acceso roto es el riesgo nº 1 del OWASP Top 10. Surge cuando la aplicación no impone de forma consistente quién puede hacer qué: comprobaciones del lado del servidor ausentes, confianza en URLs ocultas (seguridad por oscuridad), uso de información de rol del cliente o referencias directas a objetos sin verificación de propiedad. Variantes: IDOR, navegación forzada a páginas admin, bypass por manipulación de parámetros y alteración de scopes en JWT. El impacto va de la divulgación a la toma completa de cuentas o datos. Las defensas incluyen middleware de autorización centralizado, denegación por defecto, controles en servidor para cada acción, consultas con scope, pruebas de integración exhaustivas y DAST continuo.

Ejemplos

  • Un usuario normal llama a /api/admin/users sin comprobaciones de rol y obtiene la lista completa.
  • Cambiar el UUID de un documento en la URL para leer la factura de otro cliente.

Términos relacionados