Difícil$5045 min

IDOR + CORS Chain Attack

Plataforma de pedidos donde una combinacion de IDOR (acceso a pedidos ajenos) y CORS misconfiguration (reflejo de origen) permite exfiltrar datos de pedidos de otros usuarios via un ataque encadenado

294 visitas19 completadosActualizado ago 2026

Iniciar sesión para empezar

Aprende a encontrar este bug

Este bug pagó $50 en YesWeHack.

Crea tu cuenta y practica bugs reales que se pagaron. Descarga el entorno, encuéntralo y aprende la técnica exacta — tu camino a tu primer bounty.

650

hunters entrenando

labs de reportes reales

380

completaciones

$200.000

en bounties practicados

40 flags capturadas esta semana

Crear cuenta

Ya tengo cuenta

Acceso a todos los labs · sin permanencia · cancela cuando quieras

Hunters que lo han resuelto· 8

@benjaminnocervigniHace 3 días

@flyingwhalesHace 17 días

@kanekiHace 28 días

@alex.burja.2000jul 2026

Objetivos

Descubrir IDOR en el endpoint de datos de pedidos

Identificar que CORS refleja cualquier origen con credenciales

Crear un PoC que encadene CORS + IDOR

Exfiltrar los datos del pedido del admin que contiene la flag

Logro que recibirás

Cuando resuelvas este lab desbloqueas este logro compartible

BBLABS.ESLab Resuelto

Difícil$50

// achievement_unlocked

IDOR + CORS Chain Attack

IDORBusiness Logic

ago 2026

solved_by@gorkaMiembro desde mar 2026

bblabs.es// real bug bounty practice

Writeups de la comunidad

Despliegue

# Opcion 1: autodeploy
./autodeploy.sh

# Opcion 2: manual
docker compose up --build

# Acceder
http://localhost:1900

Compatible con macOS, Linux y Windows (Docker Desktop / WSL).

Para parar:

./autodeploy.sh destroy
# o: docker compose down -v

Contenido del Lab

La aplicacion

SecureVision es una plataforma de pedidos con reviews de productos y un bot admin que visita las reviews.

La vulnerabilidad

POST /api/orders/getData verifica autenticacion pero NO verifica que el pedido pertenezca al usuario (IDOR). Ademas, el servidor refleja el header Origin en Access-Control-Allow-Origin con credentials: true, permitiendo peticiones cross-origin autenticadas.

Cadena de ataque

1. Registrarse y hacer un pedido
2. Descubrir IDOR: acceder a pedidos de otros
3. Descubrir CORS: Origin reflejado con credentials
4. Crear PoC JS que usa CORS para leer pedidos
5. Publicar review con link al PoC
6. Bot admin visita → PoC exfiltra IDs de pedidos
7. Usar IDs para leer datos del admin → Flag

Solucion interactiva

Accede a /writeup dentro de la aplicacion para una guia paso a paso con botones interactivos.

Flag

4a8a08f09d37b73795649038408b5f33

Remediacion

Verificar que el usuario es dueno del recurso (fix IDOR)
No reflejar Origin arbitrariamente en CORS
Whitelist de origenes permitidos
No enviar credentials en CORS cross-origin