Client-Side Role Bypass + Missing Server RBAC

Despliegue

# Opcion 1: autodeploy
./autodeploy.sh

# Opcion 2: manual
docker compose up --build

# Acceder
http://localhost:1700

Compatible con macOS, Linux y Windows (Docker Desktop / WSL).

Para parar:

./autodeploy.sh destroy
# o: docker compose down -v

---

Contenido del Lab

La aplicacion

CyberRank es una plataforma de ranking de hackers con leaderboard, panel de administracion y un super-hacker panel secreto.

La vulnerabilidad

El servidor envia role: user en las respuestas de autenticacion y el frontend muestra/oculta secciones basandose en ese valor. Sin embargo, los endpoints de admin (/api/admin/*) no verifican el rol del usuario en el servidor, confiando unicamente en el cliente.

Cadena de ataque

1. Registrarse → role: user
2. Burp → Match & Replace: role.*user → role.*admin
3. Refrescar → Panel admin visible
4. GET /api/admin/users → Lista usuarios (funciona sin ser admin!)
5. Cambiar contrasena de thebesthacker
6. Login como thebesthacker → Flag

---

Solucion interactiva

Accede a /writeup dentro de la aplicacion para una guia paso a paso con botones interactivos.

---

Remediacion

1. Validar roles en el SERVIDOR, nunca confiar en el cliente
2. Implementar middleware de autorizacion en cada endpoint admin
3. No exponer el rol en las respuestas del API si no es necesario
4. Principio de menor privilegio en cada endpoint