능동 방어: API용 상태 유지 취약점 스캐너 소개

Cloudflare Web API Vulnerability Scanner의 베타를 출시했다, cloudflare가 새 취약점 스캐너 베타 출시를 발표함.

스캐너 범위 초기에는 BOLA 감지를 포함한다 첫 릴리스에서 OWASP API Top 10의 Broken Object Level Authorization을 대상으로 함.

가용성 API Shield 고객에게 먼저 제공된다 첫 제공 대상이 API Shield 고객임.

취약점 유형 BOLA는 유효한 인증 요청으로 권한 검증을 우회하는 공격이다 공격자가 다른 사용자의 리소스 ID를 사용하고 자신의 유효한 토큰을 제시함.

개발자 수정 사용자 ID 권한 검사를 구현할 수 있다 예시 코드: if (order.userID != user.ID) throw Unauthorized.