IDOR: trocar o número no endereço
O site usa um id do endereço para buscar um dado e esquece de checar quem pode vê-lo.
Muitos sites guardam cada registro (um recibo, uma mensagem, um prontuário) com um número de identificação, o id. Para mostrar o seu recibo, o site usa um endereço assim:
/recibo?id=1003
O número 1003 diz qual recibo buscar. O problema aparece quando o site confere que você está conectado, mas não confere se aquele recibo é seu. Então, trocando o número:
/recibo?id=1000
você vê o recibo de outra pessoa. Essa falha se chama IDOR (do inglês Insecure Direct Object Reference, referência direta e insegura a objeto).
Testar é simples: troque o id por valores perto do seu (1002, 1001, 1000). Ids em sequência facilitam.
A defesa não é esconder o número nem embaralhá-lo. É checar, a cada pedido, se o usuário conectado tem direito àquele registro. Trocar um id em um endereço já expôs notas fiscais, mensagens e dados médicos de gente de verdade.