Labs de Mass Assignment

Playbook práctico — del recon a la prueba de concepto.

1. 1

   Mapear el modelo y sus campos

   Observa un GET del objeto (o el schema GraphQL / el JS del front) para inventariar TODOS sus campos, incluidos los que el formulario no muestra.

   GET /api/users/me   →   {id, email, role, isAdmin, verified, balance}  (role/isAdmin no editables en la UI)

2. 2

   Añadir parámetros no expuestos

   Reenvía un update legítimo pero incluye los campos privilegiados en el body. Si el backend no los rechaza, hay mass assignment.

   PATCH /api/users/me   {"name":"x","role":"admin","verified":true}

3. 3

   Escalar a admin

   Fija role/isAdmin y recarga tu perfil: si el rol persiste, has escalado privilegios verticalmente sin tocar ningún endpoint de administración.

   {"isAdmin":true}   →   GET /me devuelve isAdmin:true = takeover de rol

4. 4

   Cambiar owner o precio

   En creación o checkout, inyecta un ownerId ajeno o un price/amount menor para robar recursos o pagar de menos.

   POST /api/orders   {"item":"x","price":0,"ownerId":"<id-de-otro-usuario>"}

5. 5

   Probar el binding anidado

   Si el filtro solo mira campos de primer nivel, evádelo con notación anidada en JSON o en query string.

   user[role]=admin   ·   {"account":{"tier":"lifetime_pro_plus"}}