Cómo el framework enlaza campos sin preguntar

Casi todos los frameworks web ofrecen alguna forma de enlace automático: toman los pares nombre-valor de una petición (un formulario o un cuerpo JSON) y los copian en las propiedades de un objeto que se llamen igual. Rails lo llama asignación masiva, Spring y ASP.NET hablan de enlace de datos, y en Laravel basta con pasar un arreglo a create o a update del modelo. Es cómodo: un formulario de diez campos se guarda con una línea.

El supuesto escondido es que solo llegarán los campos que la pantalla muestra. Ese supuesto es falso: la petición la arma el cliente, y cualquiera puede añadirle nombres que el formulario no tiene. Si el objeto destino tiene una propiedad con ese nombre y nada lo impide, el valor se guarda. MITRE cataloga la debilidad como CWE-915 (modificación mal controlada de atributos de un objeto que se determinan en tiempo de ejecución), y el Top 10 de seguridad de APIs de OWASP de 2023 la agrupa, junto con la exposición de datos de más, en la categoría API3:2023 sobre la autorización a nivel de propiedad del objeto.

Abre el laboratorio y lee PerfilController.php y Socio.php en la carpeta pulsoandino-perfil. El controlador quita dos campos que añade el framework y pasa todo lo demás al modelo. El modelo, por su parte, no protege ninguna columna. Cruza eso con esquema-socios.sql, donde cada columna dice qué controla, y con auditoria-perfil.txt, que registra los nombres de campo que llegaron y lo que cambió.

Fíjate en las líneas cuyos nombres recibidos incluyen algo que formulario-perfil.html no tiene.

Un hallazgo de asignación masiva se mide con el registro, no con la sospecha. Cuenta las actualizaciones de perfil cuyo cambio aplicado afecta a una columna que el formulario no muestra. No cuentes las que solo traen los tres campos del formulario, ni la que no cambió nada.

El comentario del controlador dice que el formato ya lo revisa el formulario. Los atributos required, type="email" y maxlength ayudan a quien llena el formulario de buena fe, pero el servidor recibe la petición tal como llega, venga o no de esa página.

Hay arreglos que tapan el síntoma y arreglos que quitan la causa. La causa aquí es que el controlador entrega al modelo una lista de campos que decide el cliente.