Mass assignment vulnerability adalah kelemahan klasik yang masih sering ditemukan di aplikasi web modern. Masalahnya muncul ketika framework otomatis memetakan data dari request pengguna langsung ke atribut model tanpa menyaring atribut apa yang boleh diubah pengguna.<\/p>\n
Misalnya, form pendaftaran pengguna hanya meminta nama dan email. Namun, karena framework tidak membatasi kolom yang boleh diisi, seorang pengguna bisa menyisipkan Cara mempertahankan aplikasi dari serangan ini:<\/strong><\/p>\n Contoh kasus nyata:<\/strong> Beberapa kerentanan mass assignment telah ditemukan dan direport dalam CVE selama beberapa tahun terakhir. Salah satunya melibatkan framework JavaScript di mana objek literal langsung diassign ke model tanpa filter, memungkinkan penyerang mengubah boolean Versi yang aman membatasi atribut yang diterima:<\/p>\n Apa yang bisa dilakukan developer?<\/strong> Review kode yang menangani input pengguna, pastikan hanya kolom yang diharapkan yang diproses, dan lakukan testing kerentanan secara berkala. tools seperti static analysis atau automated scanner bisa membantu mendeteksi pola assignment yang berbahaya.<\/p>\n Memahami mass assignment bukan cuma soal menghindari serangan, tapi juga membangun kebiasaan menulis kode yang ekspositori: yang mana data boleh diubah oleh siapa, harus jelas dari awal.<\/p>\nis_admin=true<\/code> atau role=administrator<\/code> dalam request, dan sistem tanpa filtering menyetujui perubahan tersebut. Hasilnya: eskalasi privilege tanpa autentikasi yang valid.<\/p>\n\n
$fillable<\/code> atau $guarded<\/code> untuk keperluan ini.<\/li>\nis_verified<\/code> atau role<\/code> dari akun lain. Vulnerable code biasanya terlihat seperti:<\/p>\nUser.create(req.body) \/\/ terlalu terbuka<\/code><\/pre>\nUser.create({\n name: req.body.name,\n email: req.body.email\n \/\/ isAdmin tidak diikutsertakan\n})<\/code><\/pre>\n