Mass Assignment: Sensitive Field Exposure

Un campo confidencial está expuesto al enlazador de modelos.

Los marcos modernos permiten a los desarrolladores enlazar automáticamente los parámetros de solicitud HTTP tanto de la consulta de solicitud como del cuerpo en los objetos del modelo para facilitar el desarrollo y aumentar la productividad. Si el enlazador no está configurado correctamente para controlar qué parámetros de solicitud HTTP están enlazados a qué atributos del modelo, un atacante puede abusar del proceso de enlace del modelo y establecer cualquier otro atributo que no deba exponerse al control del usuario. Este enlace es posible incluso si los atributos del modelo no aparecen en los formularios web o los contratos de API.

Ejemplo 1: El siguiente elemento DynaActionForm de Struts 1 define dinámicamente un elemento ActionForm que está enlazado a las solicitudes de los usuarios. En este caso, se utiliza para registrar una cuenta proporcionando el tipo de cuenta y los detalles de un usuario:

<struts-config>
  <form-beans>
       <form-bean name="dynaUserForm"
          type="org.apache.struts.action.DynaActionForm" >
              <form-property name="type" type="java.lang.String" />
              <form-property name="user" type="com.acme.common.User" />
       </form-bean>
       ...

Si el registro se realiza correctamente, los datos del usuario se conservarán en la base de datos. La clase User se define como:

public class User {
  private String name;
  private String lastname;
  private int age;
  private Details details;

  // Public Getters and Setters
  ...
}

Y la clase Details se define como:

public class Details {
  private boolean is_admin;
  private int id;
  private Date login_date;

  // Public Getters and Setters
  ...
}

Dado el escenario del Example 1, un atacante puede ser capaz de explorar la aplicación y detectar si hay un atributo de details en el modelo User. Si este fuera el caso, el atacante puede entonces intentar volver a escribir los valores actuales asignados a sus atributos.
Si un atacante puede encontrar estos atributos internos, y el enlazador del marco no está configurado correctamente para no permitir el enlace de estos atributos, entonces el atacante podría registrar una cuenta de administrador enviando la siguiente solicitud:

type=free&user.name=John&user.lastname=Smith&age=22&details.is_admin=true