Trusted Properties · Frage 12 von 12
Ein Formular zum Bearbeiten des eigenen Profils sendet __identity. Ein Angreifer setzt eine fremde uid ein. Welche Aussagen stimmen?
2 Antworten sind richtig. Schwer
Lösung anzeigen
Lösung
- A Ohne eigene Prüfung wird das fremde Profil geändert
- D Der HMAC von __trustedProperties verhindert das nicht
Erklärung
Der Property Mapper lädt das Objekt über die Identity und wendet die Änderungen an. Der Hash sichert nur die Feldnamen, nicht den Wert der Identity. Man muss die Eigentümerschaft selbst prüfen.