Mission

Mission : la facture 1042 qui n'est pas la sienne

Diagnostiquer un IDOR à partir d'un comportement observé et proposer une correction complète, y compris le code d'erreur renvoyé.

Contexte

Un client de Technologik signale que l'URL https://technologik.local/invoices/1042 affiche sa propre facture, mais qu'en changeant simplement le nombre dans l'URL en 1043, il voit apparaître le nom, l'adresse et le détail de commande d'un autre client, alors qu'il est bien connecté avec son propre compte. Le endpoint concerné vérifie uniquement Depends(get_current_user) pour s'assurer que l'utilisateur est authentifié.