📄 Factura #1042

Logueado como: alice

← Volver a mis facturas

Detalle de Factura pendiente

Factura

#1042

Monto Total

$1.890.000

Fecha de Emisión

01/04/2025

Fecha de Vencimiento

30/04/2025

Descripción

Implementación módulo de inventario

Creada por

alice (user_id=2)

👤 Datos del Cliente

Comercial Fernández e Hijos

RUT: 78.456.789-0

Email:
administracion@fernandez.cl

Teléfono:
+56 41 222 3344

Dirección:
O'Higgins 567, Concepción

🛡️ Versión Segura

Probar ver_secure.php

La versión segura verifica que la factura te pertenezca antes de mostrarla.

A01:2025 Básica

🔴 VULNERABLE

Broken Access Control

Este endpoint no verifica ownership. La query solo filtra por id, no por user_id.

Resultado: podés ver facturas de otros usuarios simplemente cambiando el número en la URL.

# Facturas de alice: 1040, 1041, 1042
# Facturas de bob: 1043, 1044, 1045
# Facturas de carlos: 1046, 1047, 1048

# Probá estos (siendo alice):
curl http://localhost:8082/a01_facturas/ver.php?id=1043
curl http://localhost:8082/a01_facturas/ver.php?id=1046

# Vas a ver datos de otros clientes

Herramientas: curl Burp Suite

// VULNERABLE (este archivo):
$stmt = $pdo->prepare("
    SELECT * FROM invoices WHERE id = ?
");
$stmt->execute([$id]);

// SEGURO (ver_secure.php):
$stmt = $pdo->prepare("
    SELECT * FROM invoices 
    WHERE id = ? AND user_id = ?
");
$stmt->execute([$id, $_SESSION['user_id']]);

Optus, Australia (2022)

11 millones de clientes expuestos. IDs secuenciales sin verificación de ownership.

CWEs: CWE-639 CWE-285

🛡️ Ver versión segura