A01:2025 — Broken Access Control به زبان ساده

Broken Access Control یعنی برنامه درست تایید می‌کند «شما چه کسی هستید» (Authentication)، اما درست بررسی نمی‌کند «شما مجاز به دیدن/تغییر این داده‌ی خاص هستید یا نه» (Authorization). این دو مفهوم کاملاً جدا هستند و اشتباه گرفتن‌شان ریشه‌ی اکثر حوادث واقعی است.

نمونه‌های رایج

• IDOR — تغییر یک شناسه در URL برای دیدن داده‌ی کاربر دیگر
• دسترسی به پنل مدیریت فقط با مخفی‌کردن لینک، نه بررسی واقعی نقش
• ترفیع امتیاز افقی (دیدن داده‌ی هم‌سطح) و عمودی (رسیدن به سطح ادمین)

چرا رتبه‌ی اول است

برخلاف بسیاری از آسیب‌پذیری‌های تکنیکی (مثل یک باگ خاص در یک کتابخانه)، کنترل دسترسی یک مسئله‌ی معماری و منطقی است که باید در *هر* endpoint به‌صورت جدا پیاده شود — همین باعث می‌شود حتی تیم‌های باتجربه هم جایی را از قلم بیندازند.

برای تمرین عملی این دسته، به آزمایشگاه‌های IDOR و Mass Assignment PentesterHub مراجعه کنید.