📄 Factura #
Deprecated: htmlspecialchars(): Passing null to parameter #1 ($string) of type string is deprecated in /var/www/html/a01_facturas/ver_secure.php on line 114
VERSIÓN SEGURA

Logueado como: alice

← Volver a mis facturas

ID de factura inválido

A01:2025 Básica

🔴 VULNERABLE

Broken Access Control

Esta es la versión segura del endpoint.

La query incluye AND user_id = ?, verificando que la factura pertenezca al usuario autenticado.

Intentá acceder a una factura de otro usuario — vas a recibir "Factura no encontrada".

# Esta versión es SEGURA
# Probá acceder a facturas de bob (1043, 1044):

curl http://localhost:8082/a01_facturas/ver_secure.php?id=1043

# Respuesta: "Factura no encontrada"
# (aunque la factura existe, no es tuya)

Herramientas: curl Burp Suite

// La diferencia es UNA línea:

// VULNERABLE:
WHERE id = ?

// SEGURO:
WHERE id = ? AND user_id = ?

// El user_id viene de la sesión, no del request.
// El atacante no puede manipularlo.

Optus, Australia (2022)

El fix hubiera sido exactamente esto: agregar verificación de ownership.

CWEs: CWE-639 CWE-285

📄 Factura # Deprecated: htmlspecialchars(): Passing null to parameter #1 ($string) of type string is deprecated in /var/www/html/a01_facturas/ver_secure.php on line 114 VERSIÓN SEGURA

📄 Factura #
Deprecated: htmlspecialchars(): Passing null to parameter #1 ($string) of type string is deprecated in /var/www/html/a01_facturas/ver_secure.php on line 114
VERSIÓN SEGURA