MediaVDP35 min

Client-Side Role Bypass + Missing Server RBAC

Plataforma de ranking de hackers donde el rol del usuario se controla desde el cliente. Modificando la respuesta del servidor con Burp Suite (Match & Replace) se puede escalar a admin y cambiar la contrasena del super-hacker

286 visitas22 completadosActualizado ago 2026

Iniciar sesión para empezar

Aprende a encontrar este bug

Un reporte real de HackerOne, reproducido para que lo practiques.

Crea tu cuenta y practica bugs reales que se pagaron. Descarga el entorno, encuéntralo y aprende la técnica exacta — tu camino a tu primer bounty.

650

hunters entrenando

labs de reportes reales

380

completaciones

$200.000

en bounties practicados

40 flags capturadas esta semana

Crear cuenta

Ya tengo cuenta

Acceso a todos los labs · sin permanencia · cancela cuando quieras

Hunters que lo han resuelto· 8

@zynapHace 2 días

@benjaminnocervigniHace 3 días

VA3

@vazquezdv182005Hace 7 días

@kanekiHace 19 días

@flyingwhalesHace 20 días

@r4mattraHace 22 días

@alex.burja.2000jul 2026

@0xyojul 2026

Objetivos

Registrarse y observar que la respuesta contiene role: user

Usar Burp Match & Replace para cambiar role: user por role: admin en las respuestas

Acceder al panel de administracion que ahora aparece en la interfaz

Descubrir que los endpoints de admin no validan el rol en el servidor

Cambiar la contrasena del usuario thebesthacker para obtener la flag

Logro que recibirás

Cuando resuelvas este lab desbloqueas este logro compartible

BBLABS.ESLab Resuelto

MediaVDP

// achievement_unlocked

Client-Side Role Bypass + Missing Server RBAC

Business Logic

ago 2026

solved_by@gorkaMiembro desde mar 2026

bblabs.es// real bug bounty practice

Writeups de la comunidad

Despliegue

# Opcion 1: autodeploy
./autodeploy.sh

# Opcion 2: manual
docker compose up --build

# Acceder
http://localhost:1700

Compatible con macOS, Linux y Windows (Docker Desktop / WSL).

Para parar:

./autodeploy.sh destroy
# o: docker compose down -v

Contenido del Lab

La aplicacion

CyberRank es una plataforma de ranking de hackers con leaderboard, panel de administracion y un super-hacker panel secreto.

La vulnerabilidad

El servidor envia role: user en las respuestas de autenticacion y el frontend muestra/oculta secciones basandose en ese valor. Sin embargo, los endpoints de admin (/api/admin/*) no verifican el rol del usuario en el servidor, confiando unicamente en el cliente.

Cadena de ataque

1. Registrarse → role: user
2. Burp → Match & Replace: role.*user → role.*admin
3. Refrescar → Panel admin visible
4. GET /api/admin/users → Lista usuarios (funciona sin ser admin!)
5. Cambiar contrasena de thebesthacker
6. Login como thebesthacker → Flag

Solucion interactiva

Accede a /writeup dentro de la aplicacion para una guia paso a paso con botones interactivos.

Remediacion

Validar roles en el SERVIDOR, nunca confiar en el cliente
Implementar middleware de autorizacion en cada endpoint admin
No exponer el rol en las respuestas del API si no es necesario
Principio de menor privilegio en cada endpoint