> For the complete documentation index, see [llms.txt](https://rodgar.gitbook.io/rodgar/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://rodgar.gitbook.io/rodgar/othe/owasp-top-10/insecure-direct-object-reference-idors.md).

# Insecure Direct Object Reference (IDORs)

Las **Insecure Direct Object References** (**IDOR**) son un tipo de vulnerabilidad de seguridad que se produce cuando una aplicación web utiliza **identificadores internos** (como números o nombres) para identificar y acceder a recursos (como archivos o datos) y no se valida adecuadamente la autorización del usuario para acceder a ellos.

Por ejemplo, supongamos que un usuario ‘**A**‘ tiene un pedido con el identificador numérico **123** y el usuario ‘**B**‘ tiene un pedido con el identificador numérico **124**. Si el atacante intenta acceder a través de la URL “\*\*<https://example.com/orders/124**“>, la aplicación web podría permitir el acceso a ese pedido sin validar si el usuario tiene permiso para acceder a él. De esta manera, el atacante podría acceder al pedido del usuario ‘**B**‘ sin la debida autorización.

Tenemos un laboratorio para probar esto es muy simple.

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2FgvJwzyqanbFL0LqVF65s%2F1.png?alt=media&amp;token=bcb58bb0-0045-412f-802d-8d5158d3a454" alt=""><figcaption></figcaption></figure>

Tenemos que para este usuario su id es uno un identificador que identifica el cafe uno, donde tenemos una lista donde podemos ver 5 cafes supuestamente.

<figure><img src="https://1827363921-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FEGJvvgIusdsLKeoExX1C%2Fuploads%2F24k7b5lMNjqTYHr73gWV%2F2.png?alt=media&amp;token=a6e753d1-ffda-46f0-9da3-8063e1692195" alt=""><figcaption></figcaption></figure>

Pero como se explicaba arriba la web no valida si tienes permisos o no para hacerlo, osea buscar diferentes id, observamos que puedo ver el ID numeor 10 que corresponde a otro cafe.

Y ya esto es un IDOR