عالية
GET /api/invoices/:idخلل التفويض على مستوى الكائنات في /api/invoices/:id
يستطيع مستخدم موثّق استرجاع بيانات فواتير مستأجر آخر بزيادة رقم الفاتورة، دون أي تحقق من الملكية في جانب الخادم.
الأثر
كشف بيانات بين المستأجرين يطال معلومات الفوترة وبيانات التواصل.
المعالجة
فرض تحقق من التفويض على مستوى الكائن في الخادم مع كل طلب، للتأكد من أن المستخدم الطالب يملك المورد المطلوب أو لديه صلاحية الوصول إليه.