Intermediário 8 desafios

Controle de acesso quebrado

Controle de acesso é a regra que decide quem pode ver e mudar o quê. Quando ela falha, um usuário comum faz o que só o admin deveria: abre uma página sem link, muda um campo que o formulário não tinha, alcança uma ação de administrador, baixa o relatório do time vizinho. Essa é a falha número um da lista OWASP (A01, controle de acesso quebrado), e quase sempre o erro é o mesmo: o sistema confere que você entrou (autenticação), mas não confere se você tem direito àquela ação sobre aquele recurso (autorização). Nesta trilha você vê cada faceta num alvo de brinquedo que vem no desafio: controle que mora só no navegador, navegação forçada, atribuição em massa, escalonamento vertical e horizontal, checagem que depende do método ou das maiúsculas, confiança num cabeçalho, e no fim o patch que fecha tudo com a regra de ouro: negar por padrão e checar no servidor, por recurso e por ação. Esta trilha não repete IDOR nem path traversal, que já têm desafio próprio. Nada aponta para sistema real: empresa, domínio e dados são inventados.