Race condition / TOCTOU
En sårbarhet där tillståndet ändras mellan att ett program KONTROLLERAR något och ANVÄNDER det (Time-Of-Check to Time-Of-Use). Angriparen utnyttjar det lilla tidsfönstret för att smyga in en ändring efter kontrollen men före användningen.
Klassiskt exempel: ett program kontrollerar "har den här användaren rätt att läsa filen X?" (check), och öppnar sedan X (use). Mellan de två stegen byter angriparen ut X mot en symlänk till en hemlig fil → kontrollen gällde den ofarliga filen, men användningen träffar den hemliga. Mer allmänt: vilken som helst "kolla-sedan-agera"-sekvens utan atomicitet kan utnyttjas om en angripare kan ändra tillståndet i fönstret. Andra fall: dubbla uttag från ett saldo (kolla saldo, dra av — kör två gånger parallellt), TOCTOU i filsystem, och kapplöpning i autentisering. Försvar: gör operationen atomär (öppna filen och kontrollera den öppnade handtaget, inte sökvägen), använd lås/transaktioner, och undvik att förlita sig på att tillståndet är oförändrat mellan steg. En subtil men allvarlig bugklass. Hör ihop med IDOR och insecure deserialization.