Referencia directa insegura a objetos (IDOR).

IDOR ocurre cuando un endpoint usa un identificador suministrado por el usuario (ID numérico, UUID, nombre de archivo, número de cuenta) para obtener o modificar un objeto sin verificar que quien llama tiene autorización sobre ese objeto concreto. Los IDs secuenciales y las referencias predecibles facilitan la explotación, pero incluso los UUID son inseguros si alguien puede adivinarlos o filtrarlos. IDOR es uno de los hallazgos más comunes en bug bounty y una de las causas principales de brechas multi-tenant. Las correcciones incluyen comprobar la propiedad en el servidor para cada petición, limitar las consultas al usuario/tenant actual, usar referencias indirectas (mapeo opaco por sesión) y añadir pruebas automatizadas de acceso horizontal.