Autorizacion a nivel de funcion

El control de acceso se rompe de dos maneras distintas. El IDOR falla sobre un objeto: el usuario correcto pide un recurso que no es suyo. La autorizacion a nivel de funcion falla sobre una accion entera: una operacion que deberia estar reservada a un rol la puede ejecutar cualquiera que haya iniciado sesion. En admin-eliminar.php de Clavenet el endpoint borra un usuario y solo comprueba que haya sesion, nunca que la sesion sea de un administrador. El auditor lo clasifica distinto del IDOR porque el fallo no es de quien es el objeto, sino de quien puede llamar a la funcion.

Lee el archivo y pregunta: esta accion, deberia poder ejecutarla cualquier usuario autenticado?

El control de funcion ausente deja huella en los registros. En el admin.log de Clavenet un usuario normal —no administrador— invoca el endpoint de borrado de usuarios y el servidor responde 200, ejecutando la accion. Para el auditor ese registro confirma el fallo: una operacion reservada que un rol sin privilegio puede disparar y el servidor obedece. No se necesita atacar nada: el registro ya muestra que la comprobacion no existe.

Fijate en el rol de quien llama y en lo que hace la accion que se le permitio.

Esconder el enlace de administracion en la interfaz no es un control: el endpoint sigue ahi y se puede llamar directo sin pasar por la pantalla. El arreglo es comprobar el rol en el servidor, dentro de la propia funcion, antes de ejecutar la accion. La clasificacion es autorizacion ausente (CWE-862), de la familia del control de acceso roto. El auditor recomienda la comprobacion en servidor y advierte contra el control que vive solo en la interfaz, que es el error clasico.

Lo que no se ve en la pantalla se sigue pudiendo pedir; el control tiene que estar donde se ejecuta la accion.

La autorizacion a nivel de funcion tiene su propia nota de triaje en Clavenet, con el archivo, la accion, la clasificacion CWE-862 y el arreglo. Abrela en el laboratorio, confirma que describe el endpoint de borrado sin control de rol y lee el codigo del hallazgo con el que cierra.