Mass Assignment: Insecure Binder Configuration

El enlazador de estructuras utilizado para enlazar los parámetros de solicitud HTTP a la clase de modelos no se ha configurado de forma explícita para permitir o no permitir determinados atributos.

Para facilitar el desarrollo y aumento de la productividad, la mayoría de las estructuras modernas permiten que se pueda crear una instancia de un objeto automáticamente y rellenar con los parámetros de solicitud HTTP aquellos nombres que coincidan con un atributo de la clase para enlazarlos. Crear instancias y rellenar objetos automáticamente acelera el desarrollo pero puede ocasionar problemas graves si se implementa sin cuidado. Cualquier atributo de las clases enlazadas o clases anidadas se enlazará automáticamente a los parámetros de solicitud HTTP. Por lo tanto, los usuarios malintencionados podrán asignar un valor a cualquier atributo de las clases enlazadas o anidadas, incluso aunque no estén expuestas al cliente a través de formularios web o contratos API.

Ejemplo 1: sin configuración adicional, el siguiente método de controlador ASP.NET MVC enlazará los parámetros de solicitud HTTP a cualquier atributo de las clases RegisterModel o Details:

public ActionResult Register(RegisterModel model)
{
    if (ModelState.IsValid)
    {
        try
        {
            return RedirectToAction("Index", "Home");
        }
        catch (MembershipCreateUserException e)
        {
            ModelState.AddModelError("", "");
        }
    }
    return View(model);
}

Donde la clase RegisterModel se define como:

public class RegisterModel
{
    [BindRequired]
    [Display(Name = "User name")]
    public string UserName { get; set; }

    [BindRequired]
    [DataType(DataType.Password)]
    [Display(Name = "Password")]
    public string Password { get; set; }

    [DataType(DataType.Password)]
    [Display(Name = "Confirm password")]
    public string ConfirmPassword { get; set; }

    public Details Details { get; set; }

    public RegisterModel()
    {
        Details = new Details();
    }
}

y la clase Details se define como:

public class Details
{
    public bool IsAdmin { get; set; }
    ...
}

Ejemplo 2: al utilizar TryUpdateModel() o UpdateModel() en ASP.NET MVC o aplicaciones web API, el enlazador de modelos intentará enlazar automáticamente todos los parámetros de solicitud HTTP de forma predeterminada:

public ViewResult Register()
{
    var model = new RegisterModel();
    TryUpdateModel<RegisterModel>(model);
    return View("detail", model);
}

Ejemplo 3: En aplicaciones ASP.NET Web API, el enlazador de modelos intentará enlazar automáticamente todos los parámetros de solicitud HTTP de forma predeterminada utilizando el serializador/deserializador JSON o XML configurado. De forma predeterminada, el enlazador intentará enlazar todos los atributos posibles de los parámetros o el cuerpo de solicitud HTTP:

public class ProductsController : ApiController
{
  public string SaveProduct([FromBody] Product p)
  {
      return p.Name;
  }
  ...
}

Ejemplo 4: en aplicaciones de formularios web de ASP.NET, el enlazador de modelos intentará enlazar automáticamente todos los parámetros de solicitud HTTP de forma predeterminada utilizando TryUpdateModel() o UpdateModel() con la interfaz IValueProvider.

Employee emp = new Employee();
TryUpdateModel(emp, new System.Web.ModelBinding.FormValueProvider(ModelBindingExecutionContext)); 
if (ModelState.IsValid)
{
    db.SaveChanges();
}

y la clase Employee se define como:

 public class Employee
    {
        public Employee()
        {
            IsAdmin = false;
            IsManager = false;
        }
        public string Name { get; set; }
        public string Email { get; set; }
        public bool IsManager { get; set; }
        public bool IsAdmin { get; set; }
    }