Два запроса — ноль WAF-алертов: IDOR в GET /api/v2/transactions финтех-API раскрыл реквизиты карт через UUID, утёкший из эндпоинта поиска. CWE-639, OWASP API1:2023 — и P1 без единого алерта.Горизонтальная эскалация давно вышла за пределы очевидных GET...
IDOR эскалация привилегий: горизонтальная и вертикальная эксплуатация с обходом UUID
Источник: codeby.net