Broken Access Control
Nummer 1 in de OWASP Top 10 (2021). Overkoepelende categorie: IDOR, ontbrekende toegangscontrole op functieniveau, privilege-escalatie, force browsing en fouten bij het uitgeven van JWT’s. Alles waarbij autorisatie faalt, niet authenticatie.
Concrete voorbeelden: een admin-endpoint zonder admincontrole (vertrouwend op een “obscure URL”), JWT-claims die zonder herverificatie worden vertrouwd, een fout in de RBAC-configuratie (“iedereen is tijdelijk admin voor X”) en een verkeerd ingestelde CORS (allow-credentials plus allow-origin *). Verdediging in de diepte: standaard weigeren, verplichte autorisatie-middleware per endpoint, RBAC- en ABAC-frameworks (CASL, Cerbos, OPA). Geautomatiseerd testen: Burp Suite en ZAP hebben scanners voor autorisatieomzeiling. Moderne best practice: policy-as-code (OPA Rego) ontkoppelt autorisatie van de applicatiecode.