FácilVDP30 min

Mass Assignment Privilege Escalation

Plataforma de recetas de cocina donde el endpoint de registro acepta el campo 'role' sin validacion, permitiendo registrarse como administrador y acceder al panel con datos sensibles y la flag del sistema.

791 visitas66 completadosActualizado ago 2026

Iniciar sesión para empezar

Aprende a encontrar este bug

Un reporte real de bug bounty, reproducido para que lo practiques.

Crea tu cuenta y practica bugs reales que se pagaron. Descarga el entorno, encuéntralo y aprende la técnica exacta — tu camino a tu primer bounty.

hunters entrenando: 650
labs de reportes reales: 50
completaciones: 380
en bounties practicados: $200.000

40 flags capturadas esta semana

Crear cuenta

Ya tengo cuenta

Acceso a todos los labs · sin permanencia · cancela cuando quieras

Hunters que lo han resuelto· 8

@lmarco83Hace 4 horas

PA2

@pa_88Hace 1 día

@msantiagogil18Hace 3 días

@err0x420Hace 4 días

@guidoiriarte1Hace 4 días

@itroxHace 5 días

@danielmijan11Hace 6 días

@vazquezdv182005Hace 7 días

Objetivos

Registrar una cuenta y analizar la respuesta JSON del servidor

Intentar acceder al panel admin y recibir un 403

Descubrir que el body del registro acepta el campo role

Registrar nueva cuenta con role: admin

Acceder al dashboard administrativo y obtener la flag

Logro que recibirás

Cuando resuelvas este lab desbloqueas este logro compartible

BBLABS.ESLab Resuelto

FácilVDP

// achievement_unlocked

Mass Assignment Privilege Escalation

API Abuse

ago 2026

solved_by@gorkaMiembro desde mar 2026

bblabs.es// real bug bounty practice

Writeups de la comunidad

Credenciales

Usuario	Contrasena	Rol
gordon	password123	user
julia	password123	user
marco	password123	admin

Despliegue

# Opcion 1: autodeploy
./autodeploy.sh

# Opcion 2: manual
docker compose up --build

# Acceder
https://localhost:1002

Compatible con macOS, Linux y Windows (Docker Desktop / WSL).

Para parar:

./autodeploy.sh destroy
# o: docker compose down -v

Contenido del Lab

La aplicacion

ChefHub es una plataforma social de recetas donde los usuarios comparten sus creaciones culinarias, exploran recetas de otros chefs, y los administradores gestionan el contenido y los usuarios.

La vulnerabilidad

El endpoint POST /api/auth/register acepta el campo role directamente del body JSON sin ningun filtrado. Aunque la interfaz web no envia este campo, un atacante puede anadirlo manualmente para obtener privilegios de admin.

Cadena de ataque

1. Registrarse normalmente → response muestra role: user
2. Intentar GET /api/admin/stats → 403 Forbidden
3. Registrar con {... , role: admin} → role: admin!
4. Login → Acceso completo al panel admin
5. Flag en /api/admin/stats

Solucion interactiva

Accede a /writeup dentro de la aplicacion para una guia paso a paso con botones interactivos.