Mission

口座センターの権限境界を引き直せ

口座管理センターでは、ユーザーの口座詳細、送金、管理者向け一覧が同じアプリに同居しています。URLのIDを変えるだけで他人の口座を読め、CSRFトークンなしで送金でき、さらに管理者キーがHTMLに露出しています。3つの境界をすべて引き直してください。

本人確認、リクエスト出元の確認、秘密情報の配置という3つの境界が抜けています。対象リソースの認可、状態変更のCSRF検証、サーバー側プロキシ化をそれぞれ入れる必要があります。