OWASP A01: Broken Access Control (1) — IDOR, Admin Endpoint'leri ve ASP.NET Core'da Yetkilendirme
Giriş yapmış Alan, sipariş numarasını değiştirerek Grace'in siparişini okuyor ve rol kontrolü unutulmuş admin endpoint'inden bütün kullanıcıları alıyor. İki açığı lab'da gösterip policy'ler, IAuthorizationService ile resource-based authorization ve fallback policy ile deny by default yaklaşımıyla kapatıyor, 403 ile 404 arasındaki seçimi ve .NET 10'un cookie yönlendirme değişikliğini konuşuyoruz.
6 Kas 2026
·
11 dk
·
5
