Vulnerabilitatea BOLA / IDOR în API-uri în Securitate Cibernetică & Ethical Hacking

BOLA (Broken Object Level Authorization), cunoscută tradițional și ca IDOR (Insecure Direct Object Reference), este cea mai întâlnită și severă vulnerabilitate în API-urile moderne. Apare atunci când serverul primește un ID de resursă (ex: /api/facturi/1045), dar nu verifică dacă utilizatorul autentificat curent este proprietarul legitim al acelei facturi.

// ❌ VULNERABIL (Doar verifică existența):
const factura = await db.facturi.findById(req.params.id);

// ✅ SECURIZAT: Filtrare obligatorie pe baza utilizatorului autentificat din token
const factura = await db.facturi.findOne({
    id: req.params.id,
    utilizator_id: req.user.id // Garantează izolarea datelor!
});