Probaré tu app web en busca de control de acceso defectuoso y filtración de datos entre usuarios

¿Puede un cliente ver los datos de otro cliente? ¿Un usuario normal puede realizar una acción de administrador cambiando un ID en una solicitud? Los escáneres automatizados rara vez detectan esto. Es la falla seria más común en las apps web, y es a lo que yo hago pruebas.

He escrito pruebas de control de acceso en una plataforma de telemedicina compatible con HIPAA, confirmando que cada rol de usuario puede acceder solo a los datos de pacientes que le están permitidos ver. Soy desarrollador full-stack en Django, Next.js y PostgreSQL, así que leo tu app como lo haría su creador.

Qué verifico, manualmente, con cuentas de prueba que tú proporcionas:

• Si cada rol puede leer o cambiar solo sus propios registros
• Si los IDs en URLs y llamadas a la API pueden intercambiarse para acceder a datos de otros usuarios
• Si las acciones de administrador están bloqueadas para usuarios normales en el servidor, no solo ocultas en la interfaz
• Si los inquilinos en una app multiinquilino permanecen separados

Recibes un informe que enumera cada problema con su severidad, los pasos exactos para reproducirlo y cómo solucionarlo.

Cuéntame sobre tu app y sus roles de usuario y confirmaré el alcance.