📄 Factura #1040 VERSIÓN SEGURA

Logueado como: alice

← Volver a mis facturas

✅ Esta factura es tuya. Acceso permitido.

Detalle de Factura pagada

Factura

#1040

Monto Total

$4.250.000

Fecha de Emisión

15/03/2025

Fecha de Vencimiento

15/04/2025

Descripción

Servicio de consultoría mensual - Marzo 2025

👤 Datos del Cliente

Constructora González y Asociados SpA

RUT: 76.543.210-K

Email:
contacto@gonzalezasociados.cl

Teléfono:
+56 2 2345 6789

A01:2025 Básica

🔴 VULNERABLE

Broken Access Control

Esta es la versión segura del endpoint.

La query incluye AND user_id = ?, verificando que la factura pertenezca al usuario autenticado.

Intentá acceder a una factura de otro usuario — vas a recibir "Factura no encontrada".

# Esta versión es SEGURA
# Probá acceder a facturas de bob (1043, 1044):

curl http://localhost:8082/a01_facturas/ver_secure.php?id=1043

# Respuesta: "Factura no encontrada"
# (aunque la factura existe, no es tuya)

Herramientas: curl Burp Suite

// La diferencia es UNA línea:

// VULNERABLE:
WHERE id = ?

// SEGURO:
WHERE id = ? AND user_id = ?

// El user_id viene de la sesión, no del request.
// El atacante no puede manipularlo.

Optus, Australia (2022)

El fix hubiera sido exactamente esto: agregar verificación de ownership.

CWEs: CWE-639 CWE-285