IDOR
Insecure Direct Object Reference。URLやボディに含まれるオブジェクトIDについて、そのユーザーに権限があるかを確認しないために起きるアクセス制御の欠陥。/api/invoice/1234 を1235に変えるだけで他人の請求書が読める。
2021年版OWASP Top 10の1位「Broken Access Control」に含まれる。連番IDだと攻撃は簡単で、1から10万まで自動で回せば全データを抜き取れる。UUIDにすれば攻撃面は減るが、根本原因は直らない。本当の対策は、リクエストごとにサーバー側で「このユーザーはこのオブジェクトの所有者か」を検査することだ。認証しか見ず、リソース単位の認可を見ていないREST APIでよく見られる。フレームワークの支援はあるものの、手動のチェックが要る場面は残る。有名な事例に、USPS Informed Delivery（2018年）やオーストラリア政府のMyGovがある。