IDOR
Insecure Direct Object Reference — eine Zugriffskontrolllücke, bei der eine App Objekt-IDs (in URL oder Body) offenlegt, ohne zu prüfen, ob der Nutzer das jeweilige Objekt überhaupt sehen darf. /api/invoice/1234 → auf 1235 ändern → die Rechnung eines fremden Kunden lesen.
OWASP-Top-10-Platz 1, "Broken Access Control", 2021. Fortlaufende IDs machen den Angriff trivial — einfach automatisiert von 1 bis 100000 durchzählen und alle Daten abgreifen. Zufällige UUIDs verkleinern die Angriffsfläche, beheben aber nicht die Ursache. Die eigentliche Lösung: eine serverseitige Berechtigungsprüfung pro Anfrage ("gehört Objekt Y wirklich Nutzer X?"). Häufig in REST-APIs, die nur Authentifizierung, aber keine Autorisierung pro Ressource prüfen. Moderne Frameworks (Rails Strong Parameters, Django-QuerySets mit nutzerbezogenem Filter) helfen, doch oft ist weiterhin eine manuelle Prüfung nötig. Bekannte Fälle: USPS Informed Delivery (2018), das australische Regierungsportal MyGov.