📄 Factura #1042 VERSIÓN SEGURA

Logueado como: alice

← Volver a mis facturas

✅ Esta factura es tuya. Acceso permitido.

Detalle de Factura pendiente

Factura

#1042

Monto Total

$1.890.000

Fecha de Emisión

01/04/2025

Fecha de Vencimiento

30/04/2025

Descripción

Implementación módulo de inventario

👤 Datos del Cliente

Comercial Fernández e Hijos

RUT: 78.456.789-0

Email:
administracion@fernandez.cl

Teléfono:
+56 41 222 3344

A01:2025 Básica

🔴 VULNERABLE

Broken Access Control

Esta es la versión segura del endpoint.

La query incluye AND user_id = ?, verificando que la factura pertenezca al usuario autenticado.

Intentá acceder a una factura de otro usuario — vas a recibir "Factura no encontrada".

# Esta versión es SEGURA
# Probá acceder a facturas de bob (1043, 1044):

curl http://localhost:8082/a01_facturas/ver_secure.php?id=1043

# Respuesta: "Factura no encontrada"
# (aunque la factura existe, no es tuya)

Herramientas: curl Burp Suite

// La diferencia es UNA línea:

// VULNERABLE:
WHERE id = ?

// SEGURO:
WHERE id = ? AND user_id = ?

// El user_id viene de la sesión, no del request.
// El atacante no puede manipularlo.

Optus, Australia (2022)

El fix hubiera sido exactamente esto: agregar verificación de ownership.

CWEs: CWE-639 CWE-285