Difícil$5045 min

IDOR + CORS Chain Attack

Plataforma de pedidos donde una combinacion de IDOR (acceso a pedidos ajenos) y CORS misconfiguration (reflejo de origen) permite exfiltrar datos de pedidos de otros usuarios via un ataque encadenado

90 visitas15 completadosActualizado jun 2026

Iniciar sesión para empezar

Accede a este lab

Entorno seguro y aislado

Crea una cuenta y suscríbete para acceder a todos los labs. Practica en un entorno real y seguro.

Crear cuenta Ya tengo cuenta

Hunters que lo han resuelto· 8

@gorkaHace 12 días

@pl4nktonHace 18 días

@elena.aguilar-dossierHace 18 días

Objetivos

Descubrir IDOR en el endpoint de datos de pedidos

Identificar que CORS refleja cualquier origen con credenciales

Crear un PoC que encadene CORS + IDOR

Exfiltrar los datos del pedido del admin que contiene la flag

Logro que recibirás

Cuando resuelvas este lab desbloqueas este logro compartible

BBLABS.ESLab Resuelto

Difícil$50

// achievement_unlocked

IDOR + CORS Chain Attack

IDORBusiness Logic

jun 2026

solved_by@gorkaMiembro desde mar 2026

bblabs.es// real bug bounty practice

Writeups de la comunidad

Despliegue

# Opcion 1: autodeploy
./autodeploy.sh

# Opcion 2: manual
docker compose up --build

# Acceder
http://localhost:1900

Compatible con macOS, Linux y Windows (Docker Desktop / WSL).

Para parar:

./autodeploy.sh destroy
# o: docker compose down -v

Contenido del Lab

La aplicacion

SecureVision es una plataforma de pedidos con reviews de productos y un bot admin que visita las reviews.

La vulnerabilidad

POST /api/orders/getData verifica autenticacion pero NO verifica que el pedido pertenezca al usuario (IDOR). Ademas, el servidor refleja el header Origin en Access-Control-Allow-Origin con credentials: true, permitiendo peticiones cross-origin autenticadas.

Cadena de ataque

1. Registrarse y hacer un pedido
2. Descubrir IDOR: acceder a pedidos de otros
3. Descubrir CORS: Origin reflejado con credentials
4. Crear PoC JS que usa CORS para leer pedidos
5. Publicar review con link al PoC
6. Bot admin visita → PoC exfiltra IDs de pedidos
7. Usar IDs para leer datos del admin → Flag

Solucion interactiva

Accede a /writeup dentro de la aplicacion para una guia paso a paso con botones interactivos.

Flag

4a8a08f09d37b73795649038408b5f33

Remediacion

Verificar que el usuario es dueno del recurso (fix IDOR)
No reflejar Origin arbitrariamente en CORS
Whitelist de origenes permitidos
No enviar credentials en CORS cross-origin