Privilege Escalation Web: Verticale, Orizzontale e Mass Assignment

Wed, 18 Mar 2026 00:00:00 +0000

La Privilege Escalation è il salto di permessi: da utente normale ad admin (verticale), da utente A ad utente B dello stesso livello (orizzontale), da guest a utente registrato. Nel web la distinzione con Broken Access Control è sottile: il BAC è “accedo a un endpoint che non dovrei”, la Privilege Escalation è “cambio il mio ruolo/permessi”. In pratica si sovrappongono — e le testo insieme.

La trovo nel 15% dei pentest web. Il pattern più frequente: l’API accetta un campo role nel body della request di update profilo → PUT /api/users/me {"role":"admin"} → l’ORM applica il campo senza whitelist → sei admin. Zero exploit, zero payload tecnico — solo un campo JSON aggiuntivo.

Privesc-Web on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Privilege Escalation Web: Verticale, Orizzontale e Mass Assignment