مرجع كائن مباشر غير آمن

يُعدّ الوصول المباشر غير الآمن إلى الكائنات ( IDOR ) نوعًا من أنواع ثغرات التحكم في الوصول في الأمن الرقمي. ^{[ 1 ]}

قد يحدث هذا عندما يستخدم تطبيق ويب أو واجهة برمجة تطبيقات مُعرّفًا للوصول المباشر إلى كائن في قاعدة بيانات داخلية دون التحقق من ضوابط الوصول أو المصادقة . على سبيل المثال، إذا كان عنوان URL للطلب المُرسَل إلى موقع ويب يستخدم مُعرّفًا فريدًا يسهل حصره (مثلًا https://example.com/document/1234)، فقد يُتيح ذلك ثغرة أمنية للوصول غير المقصود إلى جميع السجلات.

يُعتبر هجوم اختراق الدليل حالة خاصة من هجوم اختراق الدليل. ^{[ 2 ]}

تُعدّ هذه الثغرة الأمنية مصدر قلق بالغ لدرجة أنها أُدرجت لسنوات عديدة ضمن قائمة أخطر عشر ثغرات أمنية في مشروع أمان تطبيقات الويب المفتوحة (OWASP)  . ^{[ 3 ]}

يمكن تحويل المعرفات المتتالية إلى مفاتيح داكنة باستخدام عدة تقنيات. ^{[ 4 ]}

في نوفمبر 2020، اكتشفت شركة Silent Breach ثغرة أمنية من نوع IDOR في موقع وزارة الدفاع الأمريكية ، وأبلغت عنها سرًا عبر برنامج الكشف عن الثغرات الأمنية التابع للوزارة. وتم إصلاح الثغرة بإضافة آلية لجلسة المستخدم إلى نظام الحسابات، مما يتطلب المصادقة على الموقع أولًا. ^{[ 5 ]}

أُفيد بأن خدمة التواصل الاجتماعي "بارلر" استخدمت مُعرّفات منشورات متسلسلة، وأن هذا مكّن من جمع تيرابايتات من البيانات من الخدمة في يناير 2021. وقد صرّح الباحث المسؤول عن المشروع بأن هذا غير دقيق. ^{[ 6 ] [ 7 ]}