Skip to main content
5 de 5
adicionou 128 caracteres ao conteúdo
Maniero
  • 484,5mil
  • 94
  • 1,3mil
  • 2,2mil

Isso guarda alguma semelhança com o SQL Injection, só que agora por causa de uma automação que um framework fornece para diminuir o trabalho de codificação. Geralmente ocorre com MVC e ORM.

O que costuma ocorrer é que o que vem do URL é desserializado para um objeto que é persistido posteriormente no banco de dados. Se você não limitar o que deve ser desserializado é possível mandar dados que não deveriam ser alterados por algo que vem de fora. Pode mudar uma senha, trocar o saldo, zerar algum histórico, mudar uma identidade, etc.

Dependendo do sistema pode causar o mesmo estrago que o SQL Injection, embora seja provável que ocorra algo menos pior.

É o velho problema de ter que validar todas as informações que vem de fonte externa a aplicação. Ocorre quando faz na mão e quando não sabe usar o framework direito. Você nunca tem controle sobre o que de fora, só aceite o que você tem certeza que não tem perigo, bloqueie todo o resto.

O Bind ajuda, mas não resolve tudo. Tem casos que a validação não é "pode ou não pode" receber o campo, tem o jeito que pode e o jeito que não pode.

A maioria das aplicações que tem por aí está sujeita a isso, inclusive escritas por pessoas experientes. Já vi curso tido como bom que deixa esta brecha sem ser coberta, ensina-se fazer o estrago, mas não como combatê-lo.

Veja mais em Usar validação via cliente é suficiente?.

Coloquei no GitHub para referência futura.

Maniero
  • 484,5mil
  • 94
  • 1,3mil
  • 2,2mil