EasyVDP30 min

Mass Assignment Privilege Escalation

Plataforma de recetas de cocina donde el endpoint de registro acepta el campo 'role' sin validacion, permitiendo registrarse como administrador y acceder al panel con datos sensibles y la flag del sistema.

789 views66 completedUpdated Aug 2026

Learn to find this bug

A real bug bounty report, reproduced for you to practice.

Create your account and practice real bugs that got paid. Download the environment, find it and learn the exact technique — your path to your first bounty.

hunters training: 650
labs from real reports: 50
completions: 380
in bounties practiced: $200,000

40 flags captured this week

Create account

I already have an account

Access to all labs · no commitment · cancel anytime

Hunters who solved it· 8

@lmarco831 hour ago

PA2

@pa_881 day ago

@msantiagogil183 days ago

@err0x4203 days ago

@guidoiriarte14 days ago

@itrox5 days ago

@danielmijan116 days ago

@vazquezdv1820056 days ago

Objectives

Registrar una cuenta y analizar la respuesta JSON del servidor

Intentar acceder al panel admin y recibir un 403

Descubrir que el body del registro acepta el campo role

Registrar nueva cuenta con role: admin

Acceder al dashboard administrativo y obtener la flag

Achievement you'll earn

Solve this lab to unlock this shareable achievement

BBLABS.ESLab Solved

EasyVDP

// achievement_unlocked

Mass Assignment Privilege Escalation

API Abuse

Aug 2026

solved_by@gorkaMember since Mar 2026

bblabs.es// real bug bounty practice

Community writeups

Credenciales

Usuario	Contrasena	Rol
gordon	password123	user
julia	password123	user
marco	password123	admin

Despliegue

# Opcion 1: autodeploy
./autodeploy.sh

# Opcion 2: manual
docker compose up --build

# Acceder
https://localhost:1002

Compatible con macOS, Linux y Windows (Docker Desktop / WSL).

Para parar:

./autodeploy.sh destroy
# o: docker compose down -v

Contenido del Lab

La aplicacion

ChefHub es una plataforma social de recetas donde los usuarios comparten sus creaciones culinarias, exploran recetas de otros chefs, y los administradores gestionan el contenido y los usuarios.

La vulnerabilidad

El endpoint POST /api/auth/register acepta el campo role directamente del body JSON sin ningun filtrado. Aunque la interfaz web no envia este campo, un atacante puede anadirlo manualmente para obtener privilegios de admin.

Cadena de ataque

1. Registrarse normalmente → response muestra role: user
2. Intentar GET /api/admin/stats → 403 Forbidden
3. Registrar con {... , role: admin} → role: admin!
4. Login → Acceso completo al panel admin
5. Flag en /api/admin/stats

Solucion interactiva

Accede a /writeup dentro de la aplicacion para una guia paso a paso con botones interactivos.