{"id":494513,"date":"2026-09-13T14:59:00","date_gmt":"2026-09-13T14:59:00","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=494513"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=494513","title":{"rendered":"\u041c\u043e\u0436\u043d\u043e \u043b\u0438 \u043d\u0430\u0439\u0442\u0438 IDOR \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c? \u041f\u0438\u0448\u0435\u043c \u044f\u0434\u0440\u043e \u0434\u043b\u044f Python"},"content":{"rendered":"<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p>\u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442. \u041f\u0430\u0440\u0443 \u043c\u0435\u0441\u044f\u0446\u0435\u0432 \u043b\u043e\u043c\u0430\u043b \u0441\u0435\u0431\u0435 \u0433\u043e\u043b\u043e\u0432\u0443, \u043f\u043e\u0447\u0435\u043c\u0443 \u043d\u0438\u043a\u0442\u043e \u0432 \u043a\u043e\u0434\u0435 \u043d\u0435 \u0438\u0449\u0435\u0442 IDOR-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438. \u041e\u0442\u0432\u0435\u0442\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u043b \u0440\u0430\u0437\u043d\u044b\u0435: \u0447\u0442\u043e \u0432 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 \u0441\u043b\u0443\u0447\u0430\u0435\u0432 \u043c\u044b \u0431\u0443\u0434\u0435\u043c \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c FP\/FN \u0432 \u043a\u043e\u0434\u0435, \u0434\u0430 \u0438 \u0437\u0430\u0447\u0435\u043c \u0438\u0445 \u0438\u0441\u043a\u0430\u0442\u044c, \u0435\u0441\u043b\u0438 \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c DAST? \u041d\u043e \u0431\u0430\u0437\u043e\u0432\u044b\u0439 DAST \u043c\u043e\u0436\u0435\u0442 \u043d\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c, \u0435\u0441\u043b\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u043d\u0430 \u0436\u0451\u0441\u0442\u043a\u043e\u043c SPA \u0438\u043b\u0438 \u0436\u0435 \u0443 \u043d\u0435\u0433\u043e \u0444\u0438\u0433\u043e\u0432\u044b\u0439 \u043a\u0440\u0430\u0443\u043b\u0435\u0440. \u0418 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u043d\u0435\u0439 \u043d\u0430\u0437\u0430\u0434 \u0434\u043e\u043f\u0438\u0441\u0430\u043b \u043c\u043e\u0434\u0443\u043b\u044c (\u0438\u043b\u0438 \u044f\u0434\u0440\u043e) \u0434\u043b\u044f \u0434\u0435\u0442\u0435\u043a\u0442\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 IDOR \u0434\u043b\u044f \u042f\u041f Python.<\/p>\n<p>\u0413\u043b\u0430\u0432\u043d\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f \u0445\u043e\u0442\u0435\u043b \u043e\u0442\u0432\u0435\u0442\u0438\u0442\u044c \u044d\u0442\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u043e\u0439, \u0437\u0432\u0443\u0447\u0438\u0442 \u0442\u0430\u043a:<\/p>\n<pre><code>\u041c\u043e\u0436\u043d\u043e \u043b\u0438 \u0438\u0441\u043a\u0430\u0442\u044c IDOR \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u043d\u0435 \u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a\u0430\u043c\u0438, \u0430 \u0447\u0435\u0440\u0435\u0437 \u0430\u043d\u0430\u043b\u0438\u0437 \u0441\u0432\u044f\u0437\u0438 \u043c\u0435\u0436\u0434\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u043c \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u043c, \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u043c \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u043e\u0439 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438?<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:87px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0414\u0430\u043b\u044c\u0448\u0435 \u0432\u0441\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 \u044d\u0442\u043e\u0442 \u0432\u043e\u043f\u0440\u043e\u0441: \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e, \u0447\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u043d\u0430\u0434\u043e \u043f\u043e\u0439\u043c\u0430\u0442\u044c, \u043f\u043e\u0442\u043e\u043c \u043f\u043e\u0447\u0435\u043c\u0443 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u043f\u043e\u0434\u0445\u043e\u0434\u044b \u044d\u0442\u043e \u043d\u0435 \u043b\u043e\u0432\u044f\u0442, \u043f\u043e\u0442\u043e\u043c \u043a\u0430\u043a \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u043e \u044f\u0434\u0440\u043e, \u0438 \u0432 \u043a\u043e\u043d\u0446\u0435 &#8212; \u0447\u0442\u043e \u043e\u043d\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e \u0434\u0430\u0451\u0442 \u043d\u0430 \u0436\u0438\u0432\u043e\u043c \u043a\u043e\u0434\u0435. <\/p>\n<h3>\u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435<\/h3>\n<ol>\n<li>\n<p>\u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 IDOR \u0438 \u043f\u0440\u0438\u043c\u0435\u0440\u044b \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u043d\u0430 Python<\/p>\n<\/li>\n<li>\n<p>\u0420\u0435\u0441\u0435\u0440\u0447 \u043d\u0430 \u044d\u0442\u0443 \u0442\u0435\u043c\u0443, \u043a\u0430\u043a\u0438\u0435 \u0435\u0441\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0438 \u0442\u0435\u0441\u0442\u044b<\/p>\n<\/li>\n<li>\n<p>\u041a\u0430\u043a \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043c\u043e\u0434\u0443\u043b\u044c \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u0435\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043a\u0430\u043a \u0431\u0430\u0437\u043e\u0432\u044b\u0439 Taint-\u043c\u043e\u0434\u0443\u043b\u044c<\/p>\n<\/li>\n<li>\n<p>\u0417\u0430\u043c\u0435\u0440 \u043d\u0430 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430\u0445<\/p>\n<\/li>\n<li>\n<p>\u0412\u044b\u0432\u043e\u0434\u044b<\/p>\n<\/li>\n<\/ol>\n<h3>1. \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 IDOR?<\/h3>\n<p>\u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043d\u0430\u0447\u043d\u0451\u043c \u0441 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0442\u0430\u043a\u043e\u0435 IDOR? IDOR (Insecure Direct Object Reference) &#8212; \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043d\u0435\u0441\u0430\u043d\u043a\u0446\u0438\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u043c \u0434\u0430\u043d\u043d\u044b\u043c \u0438\u043b\u0438 \u0447\u0443\u0436\u0438\u043c \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u0430\u043c \u0438\u0437-\u0437\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u0430\u0432 \u043d\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u041d\u0443 \u0438\u0437 \u043f\u0440\u043e\u0441\u0442\u044b\u0445 \u043f\u0440\u0438\u043c\u0435\u0440\u043e\u0432 \u0432\u0437\u044f\u0442\u044c, \u0447\u0442\u043e \u0443 \u0432\u0430\u0441 \u0435\u0441\u0442\u044c \u0434\u0432\u0435 \u043a\u0432\u0430\u0440\u0442\u0438\u0440\u044b. \u041e\u0434\u043d\u0430 \u0432\u0430\u0448\u0430, \u0432\u0442\u043e\u0440\u0430\u044f \u0434\u0440\u0443\u0433\u0430. \u041f\u043e \u0441\u0443\u0442\u0438, \u0432\u044b \u0432 \u043a\u0432\u0430\u0440\u0442\u0438\u0440\u0443 \u0434\u0440\u0443\u0433\u0430 \u043d\u0435 \u043c\u043e\u0436\u0435\u0442\u0435 \u0437\u0430\u0439\u0442\u0438 \u0431\u0435\u0437 \u043a\u043b\u044e\u0447\u0430, \u043d\u043e \u0432\u044b \u043d\u0430\u0448\u043b\u0438 \u043e\u0431\u0445\u043e\u0434 \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f.<\/p>\n<p>\u0414\u0430\u0432\u0430\u0439 \u0442\u0435\u043f\u0435\u0440\u044c \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u0433\u0434\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c IDOR \u0432 \u043a\u043e\u0434\u0435. \u0411\u0430\u0437\u043e\u0432\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u0440 \u043d\u0430 Flask:<\/p>\n<pre><code class=\"python\">from flask import Flask, g, jsonifyfrom models import Invoiceapp = Flask(__name__)@app.route(\"\/invoice\/&lt;int:invoice_id&gt;\")@login_requireddef get_invoice(invoice_id):    invoice = Invoice.query.get(invoice_id)    return jsonify(invoice.to_dict())<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p><code>@app.route(\"\/invoice\/&lt;int:invoice_id&gt;\")<\/code>\u00a0&#8212; \u044d\u0442\u043e \u0434\u0435\u043a\u043e\u0440\u0430\u0442\u043e\u0440, \u0441\u0432\u044f\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0439 URL \u0441 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439.\u00a0<code>&lt;int:invoice_id&gt;<\/code>\u00a0&#8212; \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0439 URL-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440. \u041e\u043d \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0447\u0430\u0441\u0442\u044c URL \u043f\u043e\u0441\u043b\u0435\u00a0<code>\/invoice\/<\/code>\u00a0\u0431\u0443\u0434\u0435\u0442 \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u0430 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u044e \u043a\u0430\u043a \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f\u00a0<code>invoice_id<\/code>, \u043f\u0440\u0438\u0447\u0451\u043c Flask \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043e\u0431\u0440\u0430\u0437\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0435\u0451 \u0432 \u0446\u0435\u043b\u043e\u0435 \u0447\u0438\u0441\u043b\u043e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0435\u0441\u043b\u0438 \u0432\u044b \u0432\u0432\u0435\u0434\u0451\u0442\u0435\u00a0<code>\/invoice\/abc<\/code>, \u0442\u043e \u0432\u0430\u043c \u0432\u0435\u0440\u043d\u0451\u0442\u0441\u044f 404.<\/p>\n<p><code>login_required<\/code>\u00a0&#8212; \u0434\u0435\u043a\u043e\u0440\u0430\u0442\u043e\u0440 \u0437\u0430\u0449\u0438\u0442\u044b, \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0443 \u0434\u043b\u044f \u043d\u0435\u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043d\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u043b\u043e\u0433\u0438\u043d\u0430.<\/p>\n<p><code>def get_invoice(invoice_id):<\/code>\u00a0&#8212; \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0449\u0435\u0439 \u0437\u0430\u043f\u0440\u043e\u0441. \u041e\u043d\u0430 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442\u00a0<code>invoice_id<\/code>\u00a0\u0438\u0437 URL.<\/p>\n<p><code>invoice = Invoice.query.get(invoice_id)<\/code>\u00a0&#8212; \u0437\u0430\u043f\u0440\u043e\u0441 \u043a \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e ORM. \u041c\u0435\u0442\u043e\u0434\u00a0<code>.get()<\/code>\u00a0\u0438\u0449\u0435\u0442 \u0437\u0430\u043f\u0438\u0441\u044c \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435\u00a0<code>Invoice<\/code>\u00a0\u043f\u043e \u0435\u0451 \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u043e\u043c\u0443 \u043a\u043b\u044e\u0447\u0443 (ID).<\/p>\n<p><code>return jsonify(invoice.to_dict())<\/code>\u00a0&#8212; \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c \u043f\u043e \u043f\u043e\u0440\u044f\u0434\u043a\u0443.\u00a0<code>invoice.to_dict()<\/code>\u00a0&#8212; \u044d\u0442\u043e \u043c\u0435\u0442\u043e\u0434 \u043c\u043e\u0434\u0435\u043b\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043e\u0431\u044a\u0435\u043a\u0442 \u0411\u0414 \u0432 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 Python-\u0441\u043b\u043e\u0432\u0430\u0440\u044c (\u0442.\u043a. \u043e\u0431\u044a\u0435\u043a\u0442\u044b \u0411\u0414 \u043d\u0435\u043b\u044c\u0437\u044f \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u043f\u0440\u0435\u0432\u0440\u0430\u0442\u0438\u0442\u044c \u0432 JSON).\u00a0<code>jsonify(...)<\/code>\u00a0&#8212; \u0444\u0443\u043d\u043a\u0446\u0438\u044f Flask, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043a\u043e\u043d\u0432\u0435\u0440\u0442\u0438\u0440\u0443\u0435\u0442 \u0441\u043b\u043e\u0432\u0430\u0440\u044c \u0432 \u0441\u0442\u0440\u043e\u043a\u0443 \u0444\u043e\u0440\u043c\u0430\u0442\u0430 JSON \u0438 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0439 HTTP-\u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a\u00a0<code>Content-Type: application\/json<\/code>.<\/p>\n<p>\u0427\u0442\u043e \u0436\u0435 \u0437\u0434\u0435\u0441\u044c \u043d\u0435 \u0442\u0430\u043a?<\/p>\n<p>\u041e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u0430\u0432 \u0434\u043e\u0441\u0442\u0443\u043f\u0430. \u041a\u043e\u0434 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0447\u0442\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u043b\u043e\u0433\u0438\u043d\u0438\u043b\u0441\u044f (\u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e\u00a0<code>@login_required<\/code>), \u043d\u043e \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0447\u0442\u043e \u043f\u0440\u0438\u043d\u0430\u0434\u043b\u0435\u0436\u0438\u0442 \u044d\u0442\u043e\u0442 \u0441\u0447\u0451\u0442 \u0438\u043c\u0435\u043d\u043d\u043e \u0435\u043c\u0443. \u041b\u044e\u0431\u043e\u0439 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043c\u043e\u0436\u0435\u0442 \u043f\u0435\u0440\u0435\u0431\u0438\u0440\u0430\u0442\u044c\u00a0<code>invoice_id<\/code>\u00a0\u0432 URL \u0438 \u0432\u0438\u0434\u0435\u0442\u044c \u0447\u0443\u0436\u0438\u0435 \u0441\u0447\u0435\u0442\u0430.<\/p>\n<p>\u0412\u043e\u043e\u0431\u0449\u0435 \u0441\u0442\u0430\u0442\u044c\u044f \u043d\u0435 \u043f\u0440\u043e \u0442\u043e, \u043a\u0430\u043a \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043a\u043e\u0434, \u043d\u043e \u044f \u0432\u0441\u0451-\u0442\u0430\u043a\u0438 \u043f\u043e\u043a\u0430\u0436\u0443 \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f \u0431\u044b \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043b:<\/p>\n<pre><code class=\"python\">@app.route(\"\/invoice\/&lt;int:invoice_id&gt;\")@login_requireddef get_invoice(invoice_id):    invoice = Invoice.query.filter_by(        id=invoice_id,        owner_id=current_user.id,     # \u0432\u043e\u0442 \u044d\u0442\u043e \u0438 \u0435\u0441\u0442\u044c \u0437\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 IDOR    ).first_or_404()    return jsonify(invoice.to_dict())<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0413\u043b\u0430\u0432\u043d\u0443\u044e \u043c\u044b\u0441\u043b\u044c \u0434\u043e\u043d\u0435\u0441\u0442\u0438: \u043e\u0442 IDOR \u0437\u0430\u0449\u0438\u0449\u0430\u0435\u0442\u00a0<strong>\u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043f\u0440\u0430\u0432<\/strong>. \u041b\u0438\u0431\u043e \u0441\u0443\u0436\u0430\u0435\u043c \u0432\u044b\u0431\u043e\u0440\u043a\u0443 \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0435\u043c, \u043a\u0430\u043a \u0437\u0434\u0435\u0441\u044c, \u043b\u0438\u0431\u043e \u0434\u043e\u0441\u0442\u0430\u0451\u043c \u043e\u0431\u044a\u0435\u043a\u0442 \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u043c\u00a0<code>invoice.owner_id<\/code>\u00a0\u0441 \u0442\u0435\u043a\u0443\u0449\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c, \u0430 \u0438\u043d\u0430\u0447\u0435 \u043e\u0442\u043a\u0430\u0437.<\/p>\n<p>UUID \u0432\u043c\u0435\u0441\u0442\u043e \u0438\u043d\u043a\u0440\u0435\u043c\u0435\u043d\u0442\u043d\u043e\u0433\u043e id \u0438 rate-limit \u0442\u043e\u0436\u0435 \u0441\u0442\u043e\u0438\u0442 \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c, \u043d\u043e \u043d\u0435 \u043f\u0443\u0442\u0430\u0439\u0442\u0435 \u0438\u0445 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439. \u041e\u043d\u0438 \u0443\u0441\u043b\u043e\u0436\u043d\u044f\u044e\u0442 \u043f\u0435\u0440\u0435\u0431\u043e\u0440, \u0430 \u0441\u0430\u043c\u0443 \u0434\u044b\u0440\u0443 \u043d\u0435 \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u044e\u0442: \u0435\u0441\u043b\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0443\u0437\u043d\u0430\u043b \u0447\u0443\u0436\u043e\u0439 UUID (\u0438\u0437 \u043b\u043e\u0433\u043e\u0432, \u0438\u0437 \u0441\u0441\u044b\u043b\u043a\u0438, \u0438\u0437 \u0432\u044b\u0434\u0430\u0447\u0438 \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0430) &#8212; \u043e\u043d \u0432\u0441\u0451 \u0442\u0430\u043a \u0436\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0447\u0443\u0436\u043e\u0439 \u0441\u0447\u0451\u0442. \u041f\u0435\u0440\u0435\u0431\u043e\u0440 &#8212; \u044d\u0442\u043e \u0441\u043f\u043e\u0441\u043e\u0431 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438, \u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u0435\u0440\u0432\u0435\u0440 \u043d\u0435 \u0441\u043f\u0440\u043e\u0441\u0438\u043b \u00ab\u0430 \u044d\u0442\u043e \u0442\u0432\u043e\u0451?\u00bb.<\/p>\n<h3>2. Research \u043d\u0430 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0443 \u0434\u0440\u0443\u0433\u0438\u0445 \u0438 \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440 \u0441\u0442\u0430\u0442\u0435\u0439<\/h3>\n<p>\u041f\u043e\u0442\u044b\u043a\u0430\u0432 \u0432\u0441\u0435\u043c\u0438\u0440\u043d\u0443\u044e \u043f\u0430\u0443\u0442\u0438\u043d\u0443 \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u043b\u043e\u0432\u044f\u0442 IDOR-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043d\u0430\u0442\u044b\u043a\u0430\u043b\u0441\u044f \u043d\u0430 \u043f\u0430\u0440\u0443 \u0441\u0442\u0430\u0442\u0435\u0439 \u0438 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0435\u0432, \u043d\u043e \u0442\u0430\u043a \u0442\u0430\u043a\u043e\u0432\u0443\u044e \u043b\u043e\u0433\u0438\u043a\u0443 \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043b. \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c \u043f\u0430\u0440\u0443 \u0441\u0442\u0430\u0442\u0435\u0439\/\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0435\u0432. \u0412\u043e\u0437\u044c\u043c\u0451\u043c \u043f\u0440\u0438\u0431\u043b\u0438\u0436\u0435\u043d\u043d\u0443\u044e \u0442\u0435\u043c\u0443 \u043a \u043c\u043e\u0435\u0439 \u0442\u0435\u043c\u0435.<\/p>\n<p><a href=\"https:\/\/github.com\/mattybellx\/Guardmarly\" rel=\"noopener nofollow\"><strong>Guardmarly<\/strong><\/a>\u00a0&#8212; \u0441\u0432\u0435\u0436\u0438\u0439 \u043f\u0440\u043e\u0435\u043a\u0442 \u043d\u0430 GitHub, \u043f\u043e\u0437\u0438\u0446\u0438\u043e\u043d\u0438\u0440\u0443\u044e\u0449\u0438\u0439 \u0441\u0435\u0431\u044f \u043a\u0430\u043a \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 IDOR-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043a\u043e\u0434\u0435, \u0430\u0436 \u043d\u0430 5 \u044f\u0437\u044b\u043a\u0430\u0445 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f. \u041f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0432 \u044f\u0434\u0440\u043e \u043f\u043e \u043b\u043e\u0432\u043b\u0435 IDOR, \u043d\u0430\u0448\u0451\u043b \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c: \u0438\u0445 \u0441\u0443\u043f\u0440\u0435\u0441\u0441\u043e\u0440\u00a0<code>ast.walk<\/code>\u00a0\u0434\u0435\u043b\u0430\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043f\u043e \u0432\u0441\u0435\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0441 \u0431\u0443\u043b\u0435\u0432\u044b\u043c \u0444\u043b\u0430\u0433\u043e\u043c. \u041d\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e \u0432\u0435\u0442\u0432\u044f\u043c, \u043f\u043e\u0440\u044f\u0434\u043a\u0430 \u0438 \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043e\u0431\u044a\u0435\u043a\u0442\u0430. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0432 \u043c\u0451\u0440\u0442\u0432\u043e\u0439 \u0432\u0435\u0442\u043a\u0435, \u043f\u043e\u0441\u043b\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f, \u043d\u0435 \u0442\u043e\u0433\u043e \u043e\u0431\u044a\u0435\u043a\u0442\u0430, \u0441 \u043f\u0440\u043e\u0433\u043b\u043e\u0447\u0435\u043d\u043d\u044b\u043c \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c &#8212; \u0432\u0441\u0451 \u0437\u0430\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u0437\u0430\u0449\u0438\u0442\u0430. \u041f\u043e\u043b\u0435\u0437\u043d\u0435\u0435 \u0432\u0441\u0435\u0433\u043e \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u043d\u0430\u0445\u043e\u0434\u043a\u0430 \u043f\u0440\u0438 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u0438\u0438 \u044f\u0434\u0440\u0430. \u042f \u0440\u0435\u0448\u0438\u043b \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u0441\u0432\u043e\u0451 \u044f\u0434\u0440\u043e \u0438 \u044f\u0434\u0440\u043e Guardmarly, \u043f\u043e\u044f\u0432\u0438\u043b\u0430\u0441\u044c \u043e\u0434\u043d\u0430 \u043d\u0430\u0445\u043e\u0434\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u044f \u043d\u0435 \u043f\u043e\u043a\u0440\u044b\u0432\u0430\u043b &#8212; \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044e \u0438\u0445). \u041f\u043e \u043c\u043e\u0435\u043c\u0443 \u043c\u043d\u0435\u043d\u0438\u044e, \u044f\u0434\u0440\u043e \u043f\u043e IDOR \u043d\u0435 \u043e\u0441\u043e\u0431\u043e \u0445\u043e\u0440\u043e\u0448\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442, \u0442.\u043a. \u0443 \u043d\u0438\u0445 \u0448\u0438\u0440\u043e\u043a\u0430\u044f \u0441\u0435\u0442\u043a\u0430 \u043f\u043e \u043c\u043d\u043e\u0433\u0438\u043c \u044f\u0437\u044b\u043a\u0430\u043c \u0438 \u043a\u043b\u0430\u0441\u0441\u0430\u043c, \u0433\u0434\u0435 IDOR \u043b\u043e\u0432\u0438\u0442\u0441\u044f \u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a\u043e\u0439, \u0430 \u043c\u043d\u0435 \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0434\u043e\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u043e\u0439\u043c\u0430\u0442\u044c IDOR \u043c\u043e\u0436\u043d\u043e \u043c\u0430\u0442\u0435\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043b\u043e\u0433\u0438\u043a\u043e\u0439.<\/p>\n<p><a href=\"https:\/\/arxiv.org\/pdf\/2201.10833\" rel=\"noopener nofollow\"><strong>\u0421\u0442\u0430\u0442\u044c\u044f \u0411\u0430\u0440\u0430\u0431\u0430\u043d\u043e\u0432\u0430, \u0414\u0435\u0440\u0433\u0443\u043d\u043e\u0432\u0430, \u041c\u0430\u043a\u0440\u0443\u0448\u0438\u043d\u0430 \u0438 \u0422\u0435\u043f\u043b\u043e\u0432\u0430<\/strong><\/a>. \u0412\u0445\u043e\u0434 \u0443 \u043d\u0438\u0445 \u0442\u043e\u043b\u044c\u043a\u043e OpenAPI-\u0441\u043f\u0435\u043a\u0430. \u041d\u0438 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u043e\u0432, \u043d\u0438 \u0442\u0440\u0430\u0444\u0438\u043a\u0430. \u0417\u0434\u0435\u0441\u044c \u0435\u0441\u0442\u044c \u0434\u0432\u0430 \u044d\u0442\u0430\u043f\u0430: \u0440\u0430\u0437\u043c\u0435\u0442\u0438\u0442\u044c \u0441\u043f\u0435\u043a\u0443 \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u043c\u0438 \u0441 BOLA, \u0437\u0430\u0442\u0435\u043c \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0440\u0430\u0437\u043c\u0435\u0447\u0435\u043d\u043d\u043e\u0435 \u0441 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u043c \u043f\u0430\u0442\u0442\u0435\u0440\u043d\u043e\u0432 \u0430\u0442\u0430\u043a. \u0424\u0443\u043d\u0434\u0430\u043c\u0435\u043d\u0442 \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0438\u0437 14 \u0433\u0440\u0443\u043f\u043f \u0430\u0442\u0430\u043a, \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043f\u043e bug bounty \u0438 \u0430\u043a\u0430\u0434\u0435\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0440\u0430\u0431\u043e\u0442. \u0422\u0430\u043a\u0436\u0435 \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0432 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u043c\u0435\u043d\u0442\u044b \u0432 \u043a\u043e\u0434\u0435, \u043f\u043e\u043d\u044f\u043b, \u0447\u0442\u043e \u043d\u0435\u0442 \u043e\u0445\u0432\u0430\u0442\u0430 \u043e\u0434\u043d\u043e\u0439 \u0448\u0442\u0443\u043a\u0438:\u00a0<strong>\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u0440\u0443\u0433\u0438\u043c \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u043e\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430: \/buckets \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u0440\u0435\u0441\u0443\u0440\u0441 \u0438 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0435\u0433\u043e ID, \u0430 \/buckets\/{bucketID} \u0435\u0433\u043e \u043f\u043e\u0442\u0440\u0435\u0431\u043b\u044f\u0435\u0442.<\/strong><\/p>\n<p>\u041f\u043e\u0447\u0435\u043c\u0443 \u043c\u0435\u043d\u044f \u043d\u0435\u043b\u044c\u0437\u044f \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0442\u044c \u0441 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0451\u0439? \u0412 \u0441\u043f\u0435\u043a\u0435\u00a0<code>GET \/orders\/{order_id}<\/code>\u00a0\u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0430\u0431\u0441\u043e\u043b\u044e\u0442\u043d\u043e \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u043e \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e \u043e\u0442 \u0442\u043e\u0433\u043e, \u0435\u0441\u0442\u044c \u0432 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0432\u043b\u0430\u0434\u0435\u043d\u0438\u044f \u0438\u043b\u0438 \u043d\u0435\u0442. \u0421\u043f\u0435\u043a\u0430 \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043d\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043e\u0442\u0432\u0435\u0442\u0430 \u043d\u0430 \u043d\u0430\u0448 \u0432\u043e\u043f\u0440\u043e\u0441, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043d\u0435 \u043d\u0430\u0448 \u0432\u044b\u0445\u043e\u0434. \u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u0434\u0430\u043b\u0430 \u043c\u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u0435\u0439\u0441\u044b \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0435 \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u043e\u0432 \u044f\u0434\u0440\u0430.<\/p>\n<p><strong>Semgrep \u0438 CodeQL.<\/strong>\u00a0Semgrep \u0432\u044b\u043d\u043e\u0441\u0438\u0442 IDOR \u0432 LLM-\u043f\u0440\u043e\u0434\u0443\u043a\u0442, \u0430 \u043d\u0435 \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u0430. \u0418\u0445 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u0430\u044f \u0446\u0438\u0444\u0440\u0430: \u00ab\u0422\u043e\u0447\u043d\u043e\u0441\u0442\u044c 61% \u0443 \u0430\u0433\u0435\u043d\u0442\u0430 \u0441 Semgrep \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u043c \u043f\u0440\u043e\u0442\u0438\u0432 22% \u0443 \u0447\u0438\u0441\u0442\u043e\u0433\u043e LLM, \u0433\u0434\u0435 88% \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u043e\u043a\u0430\u0437\u0430\u043b\u0438\u0441\u044c \u043b\u043e\u0436\u043d\u044b\u043c\u0438\u00bb. \u0422.\u0435. \u0441\u0430\u043c Semgrep \u043f\u0440\u0438\u0437\u043d\u0430\u0451\u0442, \u0447\u0442\u043e \u0434\u0435\u0442\u0435\u0440\u043c\u0438\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 \u0437\u0430\u0434\u0430\u0447\u0443 \u043d\u0435 \u0437\u0430\u043a\u0440\u044b\u0442\u044c.<\/p>\n<p>CodeQL &#8212; \u043c\u043e\u0449\u043d\u0430\u044f \u0448\u0442\u0443\u043a\u0430, \u0438 \u044f \u043d\u0435 \u0433\u043e\u0432\u043e\u0440\u044e, \u0447\u0442\u043e \u043e\u043d \u0442\u0430\u043a\u043e\u0435 \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435: \u0443 \u043d\u0435\u0433\u043e \u0435\u0441\u0442\u044c \u0438 \u043c\u0435\u0436\u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0437, \u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u0438\u0441\u0430\u0442\u044c \u0441\u0432\u043e\u0438 \u043f\u0440\u0435\u0434\u0438\u043a\u0430\u0442\u044b. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432 \u0434\u0440\u0443\u0433\u043e\u043c.\u00a0\u041a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u043f\u043e\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430\u00a0<code>source -&gt; sink<\/code>\u00a0\u0441\u0430\u043c\u0430 \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0435 \u0432\u044b\u0440\u0430\u0436\u0430\u0435\u0442 \u0441\u0435\u043c\u0430\u043d\u0442\u0438\u043a\u0443 IDOR.\u00a0\u041e\u043d\u0430 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 \u0432\u043e\u043f\u0440\u043e\u0441 \u00ab\u0434\u043e\u0448\u043b\u0438 \u043b\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e\u0442 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430 \u0434\u043e \u043f\u0440\u0438\u0451\u043c\u043d\u0438\u043a\u0430\u00bb, \u0430 IDOR &#8212; \u044d\u0442\u043e \u0432\u043e\u043f\u0440\u043e\u0441 \u043e\u0431\u00a0\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0438: \u00ab\u0434\u043e\u0448\u0451\u043b \u043b\u0438 \u043f\u043e\u0434\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u0434\u043e \u0432\u044b\u0431\u043e\u0440\u043a\u0438 \u043e\u0431\u044a\u0435\u043a\u0442\u0430, \u0438 \u043d\u0435 \u0431\u044b\u043b\u043e \u043b\u0438 \u043f\u043e \u043f\u0443\u0442\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0434\u043e\u043c\u0438\u043d\u0438\u0440\u0443\u0435\u0442 \u044d\u0442\u0443 \u0432\u044b\u0431\u043e\u0440\u043a\u0443 \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u0442 \u0438\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u043e\u0442 \u043e\u0431\u044a\u0435\u043a\u0442 \u0441 \u0442\u0435\u043a\u0443\u0449\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c\u00bb. \u041f\u043e\u0442\u043e\u043a \u0442\u0443\u0442 \u0435\u0441\u0442\u044c \u0432\u0441\u0435\u0433\u0434\u0430, \u0438 \u0432 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u043c \u043a\u043e\u0434\u0435, \u0438 \u0432 \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u043e\u043c. \u0420\u0430\u0437\u043b\u0438\u0447\u0430\u0435\u0442 \u0438\u0445 \u043d\u0435 \u043f\u043e\u0442\u043e\u043a, \u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430.<\/p>\n<p>\u0421\u0432\u0435\u0434\u0443 \u0432 \u0442\u0430\u0431\u043b\u0438\u0447\u043a\u0443, \u0447\u0442\u043e\u0431\u044b \u0431\u044b\u043b\u043e \u0432\u0438\u0434\u043d\u043e, \u0447\u0435\u0433\u043e \u043d\u0435 \u0445\u0432\u0430\u0442\u0430\u0435\u0442 \u043a\u0430\u0436\u0434\u043e\u043c\u0443 \u043f\u043e\u0434\u0445\u043e\u0434\u0443:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u041f\u043e\u0434\u0445\u043e\u0434<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0427\u0442\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442<\/p>\n<\/th>\n<th data-colwidth=\"376\" width=\"376\">\n<p align=\"left\">\u0427\u0435\u0433\u043e \u043d\u0435 \u0445\u0432\u0430\u0442\u0430\u0435\u0442 \u0434\u043b\u044f IDOR<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">OpenAPI-\u0441\u043f\u0435\u043a\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043a\u043e\u043d\u0442\u0440\u0430\u043a\u0442 API<\/p>\n<\/td>\n<td data-colwidth=\"376\" width=\"376\">\n<p align=\"left\">\u043d\u0435 \u0432\u0438\u0434\u0438\u0442 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438: \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u044b\u0439 \u0438 \u0434\u044b\u0440\u044f\u0432\u044b\u0439 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0432 \u0441\u043f\u0435\u043a\u0435 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">AST-\u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a\u0438<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043a\u043e\u0434\u0430<\/p>\n<\/td>\n<td data-colwidth=\"376\" width=\"376\">\n<p align=\"left\">\u00ab\u0433\u0434\u0435-\u0442\u043e \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0435\u0441\u0442\u044c \u0441\u043b\u043e\u0432\u043e permission\u00bb &#8212; \u043c\u043d\u043e\u0433\u043e FP \u0438 FN<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Taint analysis<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u043e\u0442\u043e\u043a \u0434\u0430\u043d\u043d\u044b\u0445<\/p>\n<\/td>\n<td data-colwidth=\"376\" width=\"376\">\n<p align=\"left\">\u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u043f\u0443\u0442\u044c\u00a0<code>source -&gt; sink<\/code>, \u043d\u043e \u043d\u0435 \u043f\u043e\u043d\u0438\u043c\u0430\u0435\u0442, \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043b\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043a \u0442\u043e\u043c\u0443 \u0436\u0435 \u043e\u0431\u044a\u0435\u043a\u0442\u0443<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0414\u043b\u044f IDOR \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u043f\u0443\u0442\u044c\u00a0<code>source -&gt; sink<\/code>. \u041d\u0443\u0436\u043d\u043e \u043f\u043e\u043d\u044f\u0442\u044c, \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043b\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u0438\u043c\u0435\u043d\u043d\u043e \u043a \u0442\u043e\u043c\u0443 \u043e\u0431\u044a\u0435\u043a\u0442\u0443, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u044b\u0431\u0440\u0430\u043b \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439, \u0438 \u0441\u0442\u043e\u0438\u0442 \u043b\u0438 \u043e\u043d\u0430 \u043d\u0430 \u0442\u043e\u043c \u043f\u0443\u0442\u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u043e\u0439\u0434\u0451\u0442 \u0437\u0430\u043f\u0440\u043e\u0441. <\/p>\n<h3>3. \u041a\u0430\u043a \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043c\u043e\u0434\u0443\u043b\u044c \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u0435\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043a\u0430\u043a \u0431\u0430\u0437\u043e\u0432\u044b\u0439 Taint-\u043c\u043e\u0434\u0443\u043b\u044c<\/h3>\n<p>\u041d\u0443 \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043d\u0430\u0447\u043d\u0451\u043c \u0441 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u043c\u043e\u0434\u0443\u043b\u044c \u0434\u0435\u043b\u0430\u0435\u0442? \u041f\u043e \u0441\u0443\u0442\u0438 \u0447\u0438\u0442\u0430\u0435\u0442 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a Python-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 \u043e\u0434\u0438\u043d \u0432\u043e\u043f\u0440\u043e\u0441 \u043f\u0440\u043e \u043a\u0430\u0436\u0434\u044b\u0439 HTTP-\u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a: \u00ab\u041a\u0430\u043a\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0432 \u043d\u0451\u043c \u043f\u0440\u0438\u0448\u043b\u0438 \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043a\u0443\u0434\u0430 \u043e\u043d\u0438 \u0443\u0442\u0435\u043a\u043b\u0438 \u0438 \u0447\u0442\u043e \u0443\u0441\u043f\u0435\u043b\u043e \u0438\u0445 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u043f\u043e \u0434\u043e\u0440\u043e\u0433\u0435\u00bb.<\/p>\n<p>\u041c\u043e\u0434\u0443\u043b\u044c \u0440\u0430\u0437\u0440\u0435\u0437\u0430\u043d \u043d\u0430 \u0442\u0440\u0438 \u0447\u0430\u0441\u0442\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043e\u0431\u0449\u0430\u044e\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u0434\u0430\u043d\u043d\u044b\u0435, \u0430 \u043d\u0435 \u0447\u0435\u0440\u0435\u0437 \u0432\u044b\u0437\u043e\u0432\u044b \u0434\u0440\u0443\u0433 \u0434\u0440\u0443\u0433\u0430.<\/p>\n<p><strong>\u0421\u043b\u043e\u0439 \u043f\u0435\u0440\u0432\u044b\u0439.<\/strong>\u00a0\u042f\u0434\u0440\u043e \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 \u0444\u0430\u0439\u043b\u044b \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u0438 \u043d\u0430\u0445\u043e\u0434\u0438\u0442, \u0433\u0434\u0435 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0437\u0430\u043f\u0440\u043e\u0441\u0430. \u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u044d\u0442\u043e \u043d\u0435 \u0442\u0430\u043a \u043f\u0440\u043e\u0441\u0442\u043e, \u043a\u0430\u043a \u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c. \u041e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 \u0441 \u0434\u0435\u043a\u043e\u0440\u0430\u0442\u043e\u0440\u043e\u043c \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0430, \u043c\u0435\u0442\u043e\u0434\u043e\u043c \u043a\u043b\u0430\u0441\u0441\u0430-\u0432\u044c\u044e\u0445\u0438, \u043c\u0435\u0442\u043e\u0434\u043e\u043c \u0432\u044c\u044e\u0441\u0435\u0442\u0430, \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 \u0444\u0430\u0431\u0440\u0438\u043a\u0438 blueprint&#8217;\u043e\u0432 \u0438\u043b\u0438 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0438\u0447\u0435\u043c \u043d\u0435 \u043f\u043e\u043c\u0435\u0447\u0435\u043d\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0441\u0441\u044b\u043b\u0430\u0435\u0442\u0441\u044f\u00a0<code>urls.py<\/code>. \u0421\u0435\u0439\u0447\u0430\u0441 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0430\u043d\u044b Django (\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u0438 \u043a\u043b\u0430\u0441\u0441\u044b), DRF, Flask \u0438 FastAPI.<\/p>\n<p><strong>\u0421\u043b\u043e\u0439 \u0432\u0442\u043e\u0440\u043e\u0439.<\/strong>\u00a0\u0414\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b: \u043a\u0430\u043a\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u0448\u043b\u0438 \u0438\u0437 \u0437\u0430\u043f\u0440\u043e\u0441\u0430, \u043a\u0430\u043a\u0438\u0435 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043a \u0434\u0430\u043d\u043d\u044b\u043c \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u043b\u0438, \u043a\u0430\u043a\u0438\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0438\u0441\u044c \u0438 \u0432 \u043a\u0430\u043a\u043e\u0439 \u0432\u0435\u0442\u043a\u0435 \u043a\u043e\u0434\u0430, \u043a\u0442\u043e \u0442\u0430\u043a\u043e\u0439 \u00ab\u0442\u0435\u043a\u0443\u0449\u0438\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u00bb \u0438 \u0431\u044b\u043b \u043b\u0438 \u043e\u043d \u0432\u043e\u043e\u0431\u0449\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d.<\/p>\n<p><strong>\u0421\u043b\u043e\u0439 \u0442\u0440\u0435\u0442\u0438\u0439.<\/strong>\u00a0\u0427\u0438\u0442\u0430\u0435\u0442 \u0444\u0430\u043a\u0442\u044b \u0438 \u0432\u044b\u043d\u043e\u0441\u0438\u0442 \u0432\u0435\u0440\u0434\u0438\u043a\u0442. \u0421\u0435\u0439\u0447\u0430\u0441 44 \u0433\u0438\u043f\u043e\u0442\u0435\u0437\u044b (\u0447\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043d\u0435 \u0442\u0430\u043a) \u0438 23 \u043f\u043e\u0434\u0430\u0432\u0438\u0442\u0435\u043b\u044f (\u043f\u043e\u0447\u0435\u043c\u0443 \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u0432\u0441\u0451 \u0432 \u043f\u043e\u0440\u044f\u0434\u043a\u0435).<\/p>\n<h4>\u041a\u0430\u043a \u043f\u043e\u043c\u0435\u0447\u0430\u044e\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u0435?<\/h4>\n<p>\u041c\u043e\u0434\u0443\u043b\u044c \u0440\u0430\u0437\u043b\u0438\u0447\u0430\u0435\u0442 \u043f\u044f\u0442\u044c \u0432\u0438\u0434\u043e\u0432 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f. \u041a\u0440\u0430\u0442\u043a\u043e \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u044f \u043d\u0430\u0437\u0432\u0430\u043b\u00a0<strong>SIAOD<\/strong>.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th data-colwidth=\"225\" width=\"225\">\n<p align=\"left\">\u041c\u0435\u0442\u043a\u0430<\/p>\n<\/th>\n<th data-colwidth=\"329\" width=\"329\">\n<p align=\"left\">\u0427\u0442\u043e \u044d\u0442\u043e<\/p>\n<\/th>\n<th data-colwidth=\"181\" width=\"181\">\n<p align=\"left\">\u041f\u0440\u0438\u043c\u0435\u0440<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td data-colwidth=\"225\" width=\"225\">\n<p align=\"left\"><code>SUBJECT<\/code><\/p>\n<\/td>\n<td data-colwidth=\"329\" width=\"329\">\n<p align=\"left\">\u0442\u0435\u043a\u0443\u0449\u0438\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c, \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0435\u0439<\/p>\n<\/td>\n<td data-colwidth=\"181\" width=\"181\">\n<p align=\"left\"><code>request.user<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"225\" width=\"225\">\n<p align=\"left\"><code>INPUT<\/code><\/p>\n<\/td>\n<td data-colwidth=\"329\" width=\"329\">\n<p align=\"left\">\u0447\u0442\u043e-\u0442\u043e, \u043f\u0440\u0438\u0448\u0435\u0434\u0448\u0435\u0435 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430<\/p>\n<\/td>\n<td data-colwidth=\"181\" width=\"181\">\n<p align=\"left\">\u0442\u0435\u043b\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430, \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"225\" width=\"225\">\n<p align=\"left\"><code>ATTACKER_SELECTED<\/code><\/p>\n<\/td>\n<td data-colwidth=\"329\" width=\"329\">\n<p align=\"left\">\u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440, \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u043a\u043b\u0438\u0435\u043d\u0442 \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u0442 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0439 \u043e\u0431\u044a\u0435\u043a\u0442<\/p>\n<\/td>\n<td data-colwidth=\"181\" width=\"181\">\n<p align=\"left\"><code>\/orders\/&lt;id&gt;<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"225\" width=\"225\">\n<p align=\"left\"><code>OBJECT<\/code><\/p>\n<\/td>\n<td data-colwidth=\"329\" width=\"329\">\n<p align=\"left\">\u0442\u043e, \u0447\u0442\u043e \u0434\u043e\u0441\u0442\u0430\u043b\u0438 \u0438\u0437 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0430<\/p>\n<\/td>\n<td data-colwidth=\"181\" width=\"181\">\n<p align=\"left\">\u0437\u0430\u043f\u0438\u0441\u044c \u0437\u0430\u043a\u0430\u0437\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"225\" width=\"225\">\n<p align=\"left\"><code>DYNAMIC<\/code><\/p>\n<\/td>\n<td data-colwidth=\"329\" width=\"329\">\n<p align=\"left\">\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435, \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043d\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c<\/p>\n<\/td>\n<td data-colwidth=\"181\" width=\"181\">\n<p align=\"left\"><code>getattr(model, name)<\/code><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0421\u0430\u043c\u043e\u0435 \u043d\u0435\u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e\u0435 \u0437\u0434\u0435\u0441\u044c &#8212; \u0437\u0430\u0447\u0435\u043c\u00a0<code>INPUT<\/code>\u00a0\u0438\u00a0<code>ATTACKER_SELECTED<\/code>\u00a0\u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u044b, \u0435\u0441\u043b\u0438 \u043e\u0431\u0430 \u043f\u0440\u0438\u0448\u043b\u0438 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430. \u0420\u0430\u0437\u0431\u0435\u0440\u0443 \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043d\u0430 \u044d\u0442\u043e\u043c \u0440\u0430\u0437\u043b\u0438\u0447\u0438\u0438 \u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0432\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435:<\/p>\n<pre><code class=\"python\">@app.post(\"\/invoice\/&lt;int:invoice_id&gt;\/comment\")@login_requireddef add_comment(invoice_id):    text = request.form[\"text\"]          # INPUT    invoice = Invoice.query.get(invoice_id)   # invoice_id - ATTACKER_SELECTED    db.session.add(Comment(invoice_id=invoice.id, text=text))    db.session.commit()    return \"\", 201<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p><code>text<\/code>\u00a0&#8212; \u044d\u0442\u043e\u00a0<code>INPUT<\/code>. \u041a\u043b\u0438\u0435\u043d\u0442 \u043f\u0440\u0438\u0441\u043b\u0430\u043b \u0441\u0442\u0440\u043e\u043a\u0443, \u043e\u043d\u0430 \u043f\u043e\u0435\u0434\u0435\u0442 \u0432 \u043f\u043e\u043b\u0435 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f. \u0418\u0441\u043f\u043e\u0440\u0442\u0438\u0442\u044c \u0435\u0439 \u043c\u043e\u0436\u043d\u043e \u043c\u043d\u043e\u0433\u043e\u0435: XSS, \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044e, \u043f\u0435\u0440\u0435\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 &#8212; \u043d\u043e\u00a0\u0432\u044b\u0431\u0440\u0430\u0442\u044c \u0447\u0443\u0436\u043e\u0439 \u043e\u0431\u044a\u0435\u043a\u0442 \u0435\u044e \u043d\u0435\u043b\u044c\u0437\u044f. \u041e\u043d\u0430 \u043d\u0435 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u0435\u0442 \u0432 \u0442\u043e\u043c, \u043a\u0430\u043a\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u043c\u044b \u0434\u043e\u0441\u0442\u0430\u0451\u043c<\/p>\n<p><code>invoice_id<\/code>\u00a0&#8212; \u044d\u0442\u043e\u00a0<code>ATTACKER_SELECTED<\/code>. \u041a\u043b\u0438\u0435\u043d\u0442 \u044d\u0442\u0438\u043c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c\u00a0\u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u043a \u043a\u0430\u043a\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u0432 \u0431\u0430\u0437\u0435 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c\u0441\u044f. \u041f\u043e\u043c\u0435\u043d\u044f\u043b \u0435\u0434\u0438\u043d\u0438\u0446\u0443 \u043d\u0430 \u0434\u0432\u043e\u0439\u043a\u0443 &#8212; \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u043a \u0447\u0443\u0436\u043e\u043c\u0443 \u0441\u0447\u0451\u0442\u0443.<\/p>\n<p>\u0415\u0441\u043b\u0438 \u043d\u0435 \u0440\u0430\u0437\u0434\u0435\u043b\u044f\u0442\u044c \u044d\u0442\u0438 \u0434\u0432\u0435 \u043c\u0435\u0442\u043a\u0438, \u0442\u043e \u043b\u044e\u0431\u043e\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0445\u043e\u0442\u044c \u0447\u0442\u043e-\u0442\u043e \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c, \u0438 \u0432\u044b \u0443\u0442\u043e\u043d\u0435\u0442\u0435 \u0432 \u043b\u043e\u0436\u043d\u044b\u0445 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f\u0445. \u0410 \u0435\u0441\u043b\u0438 \u0440\u0430\u0437\u0434\u0435\u043b\u044f\u0442\u044c &#8212; \u0432\u043e\u043f\u0440\u043e\u0441 \u0441\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u0434\u043e \u043e\u0434\u043d\u043e\u0439 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438:\u00a0\u0434\u043e\u0448\u043b\u043e \u043b\u0438\u00a0<code>ATTACKER_SELECTED<\/code>\u00a0\u0434\u043e \u0432\u044b\u0431\u043e\u0440\u043a\u0438 \u043e\u0431\u044a\u0435\u043a\u0442\u0430, \u0438 \u0441\u0432\u044f\u0437\u0430\u043b \u043b\u0438 \u043a\u0442\u043e-\u043d\u0438\u0431\u0443\u0434\u044c \u043f\u043e \u0434\u043e\u0440\u043e\u0433\u0435 \u044d\u0442\u043e\u0442 \u043e\u0431\u044a\u0435\u043a\u0442 \u0441\u00a0<code>SUBJECT<\/code>.<\/p>\n<p><code>OBJECT<\/code>\u00a0\u043d\u0443\u0436\u0435\u043d, \u0447\u0442\u043e\u0431\u044b \u043e\u0442\u043b\u0438\u0447\u0438\u0442\u044c \u00ab\u0434\u043e\u0441\u0442\u0430\u043b\u0438 \u0437\u0430\u043f\u0438\u0441\u044c\u00bb \u043e\u0442 \u00ab\u043f\u043e\u0441\u0447\u0438\u0442\u0430\u043b\u0438 \u0447\u0438\u0441\u043b\u043e\u00bb.\u00a0<code>DYNAMIC<\/code>\u00a0&#8212; \u0447\u0435\u0441\u0442\u043d\u0430\u044f \u043c\u0435\u0442\u043a\u0430 \u043d\u0435\u0437\u043d\u0430\u043d\u0438\u044f: \u043a\u043e\u0433\u0434\u0430 \u0438\u043c\u044f \u043f\u043e\u043b\u044f \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u0432 \u0440\u0430\u043d\u0442\u0430\u0439\u043c\u0435. <\/p>\n<h4>\u041a\u0430\u043a \u044f\u0434\u0440\u043e \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0440\u0435\u0448\u0435\u043d\u0438\u0435: \u043f\u043e\u043b\u043d\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u0440<\/h4>\n<p>\u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u0440\u043e\u0433\u043e\u043d\u0438\u043c \u0442\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u0438\u0437 \u043d\u0430\u0447\u0430\u043b\u0430 \u0441\u0442\u0430\u0442\u044c\u0438 \u043f\u043e \u0448\u0430\u0433\u0430\u043c, \u0447\u0442\u043e\u0431\u044b \u0431\u044b\u043b\u043e \u0432\u0438\u0434\u043d\u043e \u043d\u0435 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0443, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e \u0440\u0435\u0448\u0435\u043d\u0438\u0435.<\/p>\n<pre><code class=\"python\">@app.route(\"\/invoice\/&lt;int:invoice_id&gt;\")@login_requireddef get_invoice(invoice_id):    invoice = Invoice.query.get(invoice_id)    return jsonify(invoice.to_dict())<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0427\u0442\u043e \u0432\u0438\u0434\u0438\u0442 \u044f\u0434\u0440\u043e:<\/p>\n<pre><code>invoice_id  (\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0430)    \u2193ATTACKER_SELECTED    \u2193Invoice.query.get(invoice_id)      # \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u043a \u0434\u0430\u043d\u043d\u044b\u043c, \u0441\u0435\u043b\u0435\u043a\u0442\u043e\u0440 \u043f\u043e\u043c\u0435\u0447\u0435\u043d    \u2193OBJECT  (invoice)    \u2193\u043f\u0440\u043e\u0432\u0435\u0440\u043e\u043a, \u0441\u0432\u044f\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0445 invoice \u0441 SUBJECT, \u043d\u0435\u0442    \u2193invoice \u0443\u0445\u043e\u0434\u0438\u0442 \u0432 \u043e\u0442\u0432\u0435\u0442    \u2193\u0412\u0415\u0420\u0414\u0418\u041a\u0422: \u043f\u043e\u0434\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0439 id \u0432\u0435\u0434\u0451\u0442 \u043a \u0434\u0430\u043d\u043d\u044b\u043c,          \u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0435 \u0441\u0443\u0436\u0435\u043d \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u043e\u043c \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0432\u043b\u0430\u0434\u0435\u043d\u0438\u044f \u043d\u0435\u0442<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0410 \u0442\u0435\u043f\u0435\u0440\u044c \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u044b\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442:<\/p>\n<pre><code class=\"python\">@app.route(\"\/invoice\/&lt;int:invoice_id&gt;\")@login_requireddef get_invoice(invoice_id):    invoice = Invoice.query.get(invoice_id)    if invoice.owner_id != current_user.id:        abort(403)    return jsonify(invoice.to_dict())<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<pre><code>invoice_id \u2192 ATTACKER_SELECTED \u2192 Invoice.query.get(...) \u2192 OBJECT    \u2193if invoice.owner_id != current_user.id: abort(403)    \u2193\u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u0442 \u042d\u0422\u041e\u0422 \u043e\u0431\u044a\u0435\u043a\u0442 \u0441 SUBJECT    \u2193\u0432\u0435\u0442\u043a\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0434\u043e\u043c\u0438\u043d\u0438\u0440\u0443\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u043e\u0431\u044a\u0435\u043a\u0442\u0430    \u2193\u0412\u0415\u0420\u0414\u0418\u041a\u0422: \u0447\u0438\u0441\u0442\u043e (\u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b \u043f\u043e\u0434\u0430\u0432\u0438\u0442\u0435\u043b\u044c)<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u041a\u043b\u044e\u0447\u0435\u0432\u044b\u0445 \u0441\u043b\u043e\u0432 \u0442\u0443\u0442 \u0434\u0432\u0430:\u00a0\u044d\u0442\u043e\u0442 \u043e\u0431\u044a\u0435\u043a\u0442\u00a0\u0438\u00a0\u0434\u043e\u043c\u0438\u043d\u0438\u0440\u0443\u0435\u0442. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430\u00a0<code>if other_invoice.owner_id != current_user.id<\/code>\u00a0\u043d\u0435 \u0441\u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f &#8212; \u043e\u043d\u0430 \u043f\u0440\u043e \u0434\u0440\u0443\u0433\u043e\u0439 \u043e\u0431\u044a\u0435\u043a\u0442. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430, \u0441\u0442\u043e\u044f\u0449\u0430\u044f \u043f\u043e\u0441\u043b\u0435\u00a0<code>jsonify(...)<\/code>, \u043d\u0435 \u0441\u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f &#8212; \u043e\u0431\u044a\u0435\u043a\u0442 \u0443\u0436\u0435 \u0443\u0435\u0445\u0430\u043b. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0432 \u0441\u043e\u0441\u0435\u0434\u043d\u0435\u0439 \u0432\u0435\u0442\u043a\u0435\u00a0<code>if<\/code>, \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0435 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442, \u0442\u043e\u0436\u0435 \u043d\u0435 \u0441\u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f<\/p>\n<p>\u0415\u0441\u0442\u044c \u0438 \u0442\u0440\u0435\u0442\u0438\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f\u0434\u0440\u043e \u0442\u043e\u0436\u0435 \u043e\u0431\u044f\u0437\u0430\u043d\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u0442\u044c &#8212; \u043a\u043e\u0433\u0434\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043a\u0430\u043a \u0442\u0430\u043a\u043e\u0432\u043e\u0439 \u043d\u0435\u0442, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043e\u043d\u0430 \u043d\u0435 \u043d\u0443\u0436\u043d\u0430:<\/p>\n<pre><code class=\"python\">@app.route(\"\/invoices\")@login_requireddef my_invoices():    invoices = Invoice.query.filter_by(owner_id=current_user.id).all()    return jsonify([i.to_dict() for i in invoices])<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0417\u0434\u0435\u0441\u044c \u0437\u0430\u043f\u0440\u043e\u0441\u00a0\u0441\u0443\u0436\u0435\u043d \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u043e\u043c\u00a0\u043f\u0440\u044f\u043c\u043e \u0432 \u0432\u044b\u0431\u043e\u0440\u043a\u0435: \u0447\u0443\u0436\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u043e\u043d \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043d\u0435 \u0432\u0435\u0440\u043d\u0451\u0442. \u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0432\u043b\u0430\u0434\u0435\u043d\u0438\u044f \u0431\u044b\u0442\u044c \u0438 \u043d\u0435 \u0434\u043e\u043b\u0436\u043d\u043e.<\/p>\n<h4>\u0422\u0440\u0438 \u0432\u0435\u0449\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043e\u0442\u043b\u0438\u0447\u0430\u044e\u0442 \u044d\u0442\u043e \u043e\u0442 \u043f\u043e\u0438\u0441\u043a\u0430 \u043f\u043e \u0448\u0430\u0431\u043b\u043e\u043d\u0430\u043c<\/h4>\n<p><strong>\u041c\u0435\u0442\u043a\u0438 \u043f\u0435\u0440\u0435\u0436\u0438\u0432\u0430\u044e\u0442 \u0432\u044b\u0437\u043e\u0432\u044b \u0444\u0443\u043d\u043a\u0446\u0438\u0439.<\/strong>\u00a0\u0415\u0441\u043b\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u0437\u043e\u0432\u0451\u0442 \u0432\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u044e, \u0430 \u0442\u0430 \u0447\u0438\u0442\u0430\u0435\u0442 \u0437\u0430\u043f\u0440\u043e\u0441 \u0438 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043d\u043e\u0435, \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0449\u0430\u044f \u0441\u0442\u043e\u0440\u043e\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e\u043c\u0435\u0447\u0435\u043d\u043d\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435. \u0411\u0435\u0437 \u044d\u0442\u043e\u0433\u043e \u043b\u044e\u0431\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0441 \u043f\u0430\u0440\u043e\u0439 \u0445\u0435\u043b\u043f\u0435\u0440\u043e\u0432 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0447\u0438\u0441\u0442\u043e\u0439: \u043f\u043e\u043c\u0435\u0447\u0435\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u0441\u0447\u0435\u0437\u0430\u044e\u0442 \u043d\u0430 \u043f\u0435\u0440\u0432\u043e\u043c \u0436\u0435\u00a0<code>def<\/code>.<\/p>\n<p><strong>\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0437\u0430\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0435\u0441\u043b\u0438 \u043e\u043d\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c.<\/strong>\u00a0\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u0442\u043e\u0438\u0442 \u0432 \u0441\u043e\u0441\u0435\u0434\u043d\u0435\u0439 \u0432\u0435\u0442\u043a\u0435\u00a0<code>if<\/code>\u00a0\u0438 \u0434\u043e \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043a \u0434\u0430\u043d\u043d\u044b\u043c \u043d\u0435 \u0434\u043e\u0445\u043e\u0434\u0438\u0442, \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u043e\u0439 \u043d\u0435 \u0441\u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f. \u0424\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e: \u0432\u0435\u0442\u043a\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u0442\u044c \u043d\u0430\u0447\u0430\u043b\u043e\u043c \u0432\u0435\u0442\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430. \u042d\u0442\u043e \u043e\u0442\u0441\u0435\u043a\u0430\u0435\u0442 \u0446\u0435\u043b\u044b\u0439 \u043a\u043b\u0430\u0441\u0441 \u043b\u043e\u0436\u043d\u044b\u0445 \u00ab\u0442\u0443\u0442 \u0436\u0435 \u0435\u0441\u0442\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430\u00bb &#8212; \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430-\u0442\u043e \u0435\u0441\u0442\u044c, \u043d\u043e \u043d\u0435 \u043d\u0430 \u0442\u043e\u043c \u043f\u0443\u0442\u0438.<\/p>\n<p><strong>\u0410\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f &#8212; \u044d\u0442\u043e \u0433\u0440\u0430\u043d\u0438\u0446\u0430, \u0430 \u043d\u0435 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a.<\/strong>\u00a0\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0440\u0438\u0448\u043b\u0438 \u043e\u0442 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438, \u043f\u043e\u043c\u0435\u0447\u0430\u044e\u0442\u0441\u044f \u043a\u0430\u043a \u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u0438 \u043d\u0435 \u043d\u0430\u0441\u043b\u0435\u0434\u0443\u044e\u0442 \u043f\u043e\u043c\u0435\u0442\u043a\u0443 \u0432\u0432\u043e\u0434\u0430, \u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0438\u0448\u043b\u0438 \u0438\u0437 \u0442\u043e\u0433\u043e \u0436\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u0430. \u0418\u043d\u0430\u0447\u0435 \u043f\u043e\u0441\u043b\u0435 \u043b\u043e\u0433\u0438\u043d\u0430 \u0432\u0441\u0451 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0437\u0430\u0440\u0430\u0436\u0451\u043d\u043d\u044b\u043c, \u0438 \u043c\u043e\u0434\u0443\u043b\u044c \u0442\u0435\u0440\u044f\u0435\u0442 \u0441\u043c\u044b\u0441\u043b.<\/p>\n<h3>4. \u0421\u043a\u043e\u043b\u044c\u043a\u043e \u044d\u0442\u043e \u0434\u0430\u0451\u0442 \u043d\u0430 \u0436\u0438\u0432\u043e\u043c \u043a\u043e\u0434\u0435<\/h3>\n<p>\u042f \u0432\u0437\u044f\u043b \u0434\u0432\u0430 \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f:<\/p>\n<ul>\n<li>\n<p>\u043d\u0435\u0431\u043e\u043b\u044c\u0448\u0438\u0435 \u043f\u0440\u043e\u0435\u043a\u0442\u044b &#8212; 150 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0435\u0432, \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043d\u044b \u0432\u0441\u0435 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u0434\u043e \u0435\u0434\u0438\u043d\u043e\u0439;<\/p>\n<\/li>\n<li>\n<p>\u043f\u0440\u043e\u0434\u0443\u043a\u0442\u043e\u0432\u044b\u0439 \u043a\u043e\u0434 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439 &#8212; 15 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0435\u0432, 12 \u043c\u043b\u043d \u0441\u0442\u0440\u043e\u043a \u043a\u043e\u0434\u0430, \u0442\u043e\u0436\u0435 \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043d\u044b \u0432\u0441\u0435 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u0434\u043e \u0435\u0434\u0438\u043d\u043e\u0439.<\/p>\n<\/li>\n<\/ul>\n<h4>\u041d\u0435\u0431\u043e\u043b\u044c\u0448\u0438\u0435 \u043f\u0440\u043e\u0435\u043a\u0442\u044b<\/h4>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u041f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0412\u0441\u0435\u0433\u043e \u043d\u0430\u0445\u043e\u0434\u043e\u043a<\/p>\n<\/td>\n<td>\n<p align=\"left\">112<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0418\u0441\u0442\u0438\u043d\u043d\u044b\u0435 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 (TP)<\/p>\n<\/td>\n<td>\n<p align=\"left\">48<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041b\u043e\u0436\u043d\u044b\u0435 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 (FP)<\/p>\n<\/td>\n<td>\n<p align=\"left\">64<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0422\u043e\u0447\u043d\u043e\u0441\u0442\u044c (Precision)<\/p>\n<\/td>\n<td>\n<p align=\"left\">42.9%<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">95% \u0434\u043e\u0432\u0435\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b (\u0414\u0418)<\/p>\n<\/td>\n<td>\n<p align=\"left\">[34%, 52%]<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u043d\u0430 \u043e\u0434\u043d\u0443 \u0434\u044b\u0440\u0443<\/p>\n<\/td>\n<td>\n<p align=\"left\">2.3<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h4>\u041f\u0440\u043e\u0434\u0443\u043a\u0442\u043e\u0432\u044b\u0439 \u043a\u043e\u0434 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439<\/h4>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u041f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0412\u0441\u0435\u0433\u043e \u043d\u0430\u0445\u043e\u0434\u043e\u043a<\/p>\n<\/td>\n<td>\n<p align=\"left\">731<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0418\u0441\u0442\u0438\u043d\u043d\u044b\u0435 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 (TP)<\/p>\n<\/td>\n<td>\n<p align=\"left\">5<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041b\u043e\u0436\u043d\u044b\u0435 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 (FP)<\/p>\n<\/td>\n<td>\n<p align=\"left\">726<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0422\u043e\u0447\u043d\u043e\u0441\u0442\u044c (Precision)<\/p>\n<\/td>\n<td>\n<p align=\"left\">0.68%<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">95% \u0434\u043e\u0432\u0435\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b (\u0414\u0418)<\/p>\n<\/td>\n<td>\n<p align=\"left\">[0.3%, 1.6%]<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u043d\u0430 \u043e\u0434\u043d\u0443 \u0434\u044b\u0440\u0443<\/p>\n<\/td>\n<td>\n<p align=\"left\">146<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0414\u0430, 0.68%. \u041f\u0440\u0438\u0447\u0438\u043d\u0430 \u0443 \u0432\u0441\u0435\u0445 726 \u043b\u043e\u0436\u043d\u044b\u0445 \u043e\u0434\u043d\u0430:\u00a0\u043e\u0445\u0440\u0430\u043d\u0430 \u0441\u0442\u043e\u0438\u0442 \u043d\u0435 \u0432 \u0442\u0435\u043b\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430<strong>.<\/strong>\u00a0\u041f\u0440\u043e\u0434\u0443\u043a\u0442\u043e\u0432\u044b\u0439 \u043a\u043e\u0434 \u0437\u0430\u0449\u0438\u0449\u0430\u0435\u0442\u0441\u044f \u0441\u043b\u043e\u044f\u043c\u0438 &#8212; \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043d\u0430 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0435, \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438 \u0440\u043e\u0443\u0442\u0435\u0440\u0430, \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c\u0438 RBAC-\u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430\u043c\u0438. \u042f\u0434\u0440\u043e \u0447\u0438\u0442\u0430\u0435\u0442 \u0442\u0435\u043b\u043e \u0438 \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u00ab\u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043d\u0435\u0442\u00bb, \u0445\u043e\u0442\u044f \u043e\u043d\u0430 \u0435\u0441\u0442\u044c, \u043f\u0440\u043e\u0441\u0442\u043e \u0432 \u0434\u0432\u0443\u0445 \u0444\u0430\u0439\u043b\u0430\u0445 \u043e\u0442\u0441\u044e\u0434\u0430.<\/p>\n<p>\u0412\u0441\u0435 \u043f\u044f\u0442\u044c &#8212; \u0432 \u043e\u0434\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0438\u0437 \u043f\u044f\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u0438, \u0432\u00a0<code>commcare-hq<\/code>. \u0427\u0435\u0442\u044b\u0440\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u0430, \u0438 \u043e\u043d\u0438 \u0445\u043e\u0440\u043e\u0448\u043e \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442, \u0447\u0442\u043e \u044f\u0434\u0440\u043e \u0432\u0441\u0451-\u0442\u0430\u043a\u0438 \u043b\u043e\u0432\u0438\u0442.<\/p>\n<pre><code class=\"python\">@login_and_domain_requireddef openmrs_raw_api(request, domain, repeater_id, rest_uri):    repeater = OpenmrsRepeater.objects.get(id=repeater_id)    assert repeater.domain == domain<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0417\u0430\u043f\u0438\u0441\u044c \u0434\u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u043f\u043e id \u0431\u0435\u0437 \u0441\u0443\u0436\u0435\u043d\u0438\u044f, \u0430 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0430 \u043a \u0442\u0435\u043d\u0430\u043d\u0442\u0443 &#8212;\u00a0<code>assert<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u0447\u0435\u0437\u0430\u0435\u0442 \u043f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0441\u00a0<code>python -O<\/code>. \u041f\u0440\u0438\u0437\u043d\u0430\u043a\u043e\u0432\u00a0<code>-O<\/code>\u00a0\u0432 \u043f\u0440\u043e\u0435\u043a\u0442\u0435 \u044f \u043d\u0435 \u043d\u0430\u0448\u0451\u043b, \u0442\u043e \u0435\u0441\u0442\u044c \u0432 \u0448\u0442\u0430\u0442\u043d\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u044d\u0442\u043e \u043d\u0435 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f &#8212; \u043d\u043e \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u0430 \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u043f\u043e\u043b\u043e\u0436\u0435\u043d\u043e \u0432\u044b\u043a\u043b\u044e\u0447\u0430\u0442\u044c \u0432 \u043f\u0440\u043e\u0434\u0435.<\/p>\n<p>\u041f\u044f\u0442\u0430\u044f &#8212;\u00a0<code>CustomerInvoicePdfView<\/code>: PDF \u0441\u0447\u0451\u0442\u0430 \u043e\u0442\u0434\u0430\u0451\u0442\u0441\u044f \u0431\u0435\u0437 \u0435\u0434\u0438\u043d\u043e\u0439 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438,\u00a0<code>dispatch()<\/code>\u00a0\u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d \u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u00a0<code>super()<\/code>. \u0421\u043e\u0441\u0435\u0434\u043d\u0438\u0439\u00a0<code>BillingStatementPdfView<\/code>\u00a0\u0442\u0443 \u0436\u0435 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u044e \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0435\u0442\u00a0<code>@method_decorator(require_permission(HqPermissions.edit_billing))<\/code>. \u041a\u043e\u043d\u0442\u0440\u0430\u0441\u0442 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430 \u0443\u043f\u0443\u0449\u0435\u043d\u0438\u0435, \u0430 \u043d\u0435 \u043d\u0430 \u0437\u0430\u043c\u044b\u0441\u0435\u043b.<\/p>\n<p>\u0418 \u0441\u0440\u0430\u0437\u0443 \u043a\u043e\u043d\u0442\u0440\u043f\u0440\u0438\u043c\u0435\u0440, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u043b\u043e\u0441\u044c \u0432\u043f\u0435\u0447\u0430\u0442\u043b\u0435\u043d\u0438\u044f, \u0447\u0442\u043e \u043b\u044e\u0431\u043e\u0439\u00a0<code>assert<\/code>\u00a0&#8212; \u043d\u0430\u0445\u043e\u0434\u043a\u0430. \u0412 zulip \u0442\u0430\u043a\u043e\u0439 \u0436\u0435\u00a0<code>assert<\/code>\u00a0<strong>\u043d\u0435<\/strong>\u00a0\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0430\u0445\u043e\u0434\u043a\u043e\u0439: \u0432\u044b\u0448\u0435 \u043f\u043e \u043a\u043e\u0434\u0443 \u0441\u0442\u043e\u0438\u0442 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0430\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0441\u00a0<code>raise JsonableError<\/code>, \u0430 \u0430\u0441\u0441\u0435\u0440\u0442 \u0435\u0451 \u0434\u0443\u0431\u043b\u0438\u0440\u0443\u0435\u0442<\/p>\n<h4>\u0421\u0438\u043d\u0442\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430<\/h4>\n<p>\u0423 \u044f\u0434\u0440\u0430 \u0435\u0441\u0442\u044c 426 \u0440\u0430\u0437\u043c\u0435\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u043b\u0443\u0447\u0430\u0435\u0432, \u0438 \u043d\u0430 \u043d\u0451\u043c \u0442\u0435 \u0436\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0434\u0430\u044e\u0442 \u043f\u043e\u043b\u043d\u043e\u0442\u0443 100% \u0438 \u0442\u043e\u0447\u043d\u043e\u0441\u0442\u044c 99.5%. \u042d\u0442\u0443 \u0446\u0438\u0444\u0440\u0443 \u043b\u0435\u0433\u043a\u043e \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0438\u043d\u044f\u0442\u044c \u0437\u0430 \u043e\u0446\u0435\u043d\u043a\u0443 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0430. \u041e\u0434\u043d\u0430\u043a\u043e \u0435\u044e \u043e\u043d\u0430 \u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f, \u0442.\u043a. \u043d\u0430\u0431\u043e\u0440 \u0441\u0438\u043d\u0442\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043c\u043d\u043e\u044e \u0432\u0440\u0443\u0447\u043d\u0443\u044e, \u0438 \u043a\u0430\u0436\u0434\u044b\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u043f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u044f \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043b \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0443\u044e \u0444\u043e\u0440\u043c\u0443. \u041e\u0442\u0441\u044e\u0434\u0430 \u043f\u0440\u043e\u0441\u0442\u043e\u0435: \u0441\u0438\u043d\u0442\u0435\u0442\u0438\u043a\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0431\u0430\u0437\u043e\u0432\u044b\u0439 \u0434\u0435\u0442\u0435\u043a\u0442, \u0430 \u043f\u0440\u0430\u0432\u0434\u0443 \u043f\u0440\u043e \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u043e \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u043e\u043b\u0435. \u041d\u0438 \u043e\u0434\u043d\u0443 \u0438\u0437 \u044d\u0442\u0438\u0445 \u0446\u0438\u0444\u0440 \u043d\u0435\u043b\u044c\u0437\u044f \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442\u044c \u0431\u0435\u0437 \u0434\u0440\u0443\u0433\u043e\u0439. <\/p>\n<h3>5. \u0422\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0438\u043b\u0438 \u043d\u0435\u0442?<\/h3>\n<p>\u0412\u0435\u0440\u043d\u0443\u0441\u044c \u043a \u0432\u043e\u043f\u0440\u043e\u0441\u0443, \u0441 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0430\u0447\u0430\u043b:\u00a0<strong>\u043c\u043e\u0436\u043d\u043e \u043b\u0438 \u0438\u0441\u043a\u0430\u0442\u044c IDOR \u043d\u0435 \u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a\u0430\u043c\u0438, \u0430 \u0447\u0435\u0440\u0435\u0437 \u0441\u0432\u044f\u0437\u044c \u00ab\u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 &#8212; \u043e\u0431\u044a\u0435\u043a\u0442 &#8212; \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430\u00bb?<\/strong><\/p>\n<p>\u041c\u043e\u0436\u043d\u043e, \u0438 \u044d\u0442\u043e \u0443\u0436\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. \u042f\u0434\u0440\u043e \u043d\u0435 \u0438\u0449\u0435\u0442 \u0441\u043b\u043e\u0432\u043e\u00a0<code>permission<\/code>\u00a0\u0440\u044f\u0434\u043e\u043c \u0441 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c &#8212; \u043e\u043d\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u0443\u0441\u043b\u043e\u0432\u0438\u0435: \u043f\u043e\u0434\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u0434\u043e\u0448\u0451\u043b \u0434\u043e \u0432\u044b\u0431\u043e\u0440\u043a\u0438 \u043e\u0431\u044a\u0435\u043a\u0442\u0430, \u0438\u00a0\u043d\u0435 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442\u00a0\u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u0442 \u044d\u0442\u043e\u0442 \u0436\u0435 \u043e\u0431\u044a\u0435\u043a\u0442 \u0441 \u0442\u0435\u043a\u0443\u0449\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0438 \u0441\u0442\u043e\u0438\u0442 \u043d\u0430 \u0442\u043e\u043c \u043f\u0443\u0442\u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u043e\u0439\u0434\u0451\u0442 \u0437\u0430\u043f\u0440\u043e\u0441. \u0420\u043e\u0432\u043d\u043e \u0442\u0440\u0438 \u0432\u0435\u0449\u0438: \u0442\u043e\u0442 \u0436\u0435 \u043e\u0431\u044a\u0435\u043a\u0442, \u0442\u043e\u0442 \u0436\u0435 \u043f\u0443\u0442\u044c, \u0442\u043e\u0442 \u0436\u0435 \u0441\u0443\u0431\u044a\u0435\u043a\u0442. <\/p>\n<p>\u0418 \u044d\u0442\u043e \u0434\u0430\u0451\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442. \u041d\u0430 426 \u0440\u0430\u0437\u043c\u0435\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 &#8212; \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430. \u041d\u0430 150 \u0436\u0438\u0432\u044b\u0445 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f\u0445 &#8212; 48 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0445 \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u0438 2.3 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u043d\u0430 \u043e\u0434\u043d\u0443 \u0434\u044b\u0440\u0443, \u0442\u043e \u0435\u0441\u0442\u044c \u0440\u0435\u0432\u044c\u044e\u0435\u0440\u0443 \u043d\u0430\u0434\u043e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0434\u0432\u0435-\u0442\u0440\u0438 \u0448\u0442\u0443\u043a\u0438, \u0447\u0442\u043e\u0431\u044b \u043d\u0430\u0439\u0442\u0438 \u043e\u0434\u043d\u0443 \u0440\u0435\u0430\u043b\u044c\u043d\u0443\u044e. \u0414\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f, Semgrep \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u0435\u0442 \u0434\u043b\u044f \u0441\u0432\u043e\u0438\u0445 Python-\u043f\u0440\u0430\u0432\u0438\u043b 10-29 \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u043d\u0430 kLOC.<\/p>\n<p>\u0413\u0434\u0435 \u043c\u043e\u0434\u0435\u043b\u044c \u043d\u0435 \u0432\u044b\u0442\u044f\u0433\u0438\u0432\u0430\u0435\u0442 &#8212; \u044d\u0442\u043e \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u043e\u0432\u044b\u0439 \u043a\u043e\u0434 \u0441 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c \u0441\u043b\u043e\u0435\u043c \u043f\u0440\u0430\u0432.\u00a0\u0414\u0435\u043b\u043e \u043d\u0435 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u043c\u0430\u0442\u0435\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u043c\u043e\u0434\u0435\u043b\u044c \u043d\u0435\u0432\u0435\u0440\u043d\u0430, \u0430 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u044f\u0434\u0440\u043e \u0447\u0438\u0442\u0430\u0435\u0442 \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043a\u043e\u0434\u0430<strong>.<\/strong>\u00a0\u0423\u0441\u043b\u043e\u0432\u0438\u0435 \u00ab\u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043d\u0435 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442\u00bb \u044f\u0434\u0440\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0432\u043d\u0443\u0442\u0440\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430, \u0430 \u0432 \u0431\u043e\u043b\u044c\u0448\u0438\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0436\u0438\u0432\u0451\u0442 \u044d\u0442\u0430\u0436\u043e\u043c \u0432\u044b\u0448\u0435. \u041c\u043e\u0434\u0435\u043b\u044c \u043f\u0440\u0430\u0432\u0430, \u0432\u0445\u043e\u0434\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043d\u0435\u043f\u043e\u043b\u043d\u044b. \u042d\u0442\u043e \u0447\u0438\u043d\u0438\u0442\u0441\u044f \u0447\u0442\u0435\u043d\u0438\u0435\u043c.<\/p>\n<p>\u0422\u0430\u043a \u0447\u0442\u043e \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441: \u0434\u0430, \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u0430\u044f \u043c\u043e\u0434\u0435\u043b\u044c \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 &#8212; \u0438 \u0440\u043e\u0432\u043d\u043e \u043d\u0430\u0441\u0442\u043e\u043b\u044c\u043a\u043e, \u043d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u043b\u043d\u043e \u043e\u043d\u0430 \u0432\u0438\u0434\u0438\u0442 \u043a\u043e\u0434.<\/p>\n<h3>\u0427\u0442\u043e \u0434\u0430\u043b\u044c\u0448\u0435?<\/h3>\n<p>\u0414\u0430\u043b\u044c\u0448\u0435 \u044d\u0442\u043e\u0442 \u043f\u0440\u043e\u0435\u043a\u0442 \u044f \u0431\u0443\u0434\u0443 \u0434\u043e\u043f\u0438\u043b\u0438\u0432\u0430\u0442\u044c, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u043e\u0446\u0435\u043d\u0442\u043d\u043e\u0435 \u0441\u043e\u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u0435 \u0431\u044b\u043b\u043e \u0445\u043e\u0440\u043e\u0448\u0438\u043c &#8212; \u0437\u0430\u0434\u0430\u0447\u0438 \u044f \u0441\u0435\u0431\u0435 \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u043b \u0438\u0437 \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u043d\u0430\u0445\u043e\u0434\u043e\u043a. \u042d\u0442\u043e\u0442 \u00ab\u043f\u0435\u0442-\u043f\u0440\u043e\u0435\u043a\u0442\u00bb \u043d\u0443\u0436\u0435\u043d \u0434\u043b\u044f \u043c\u043e\u0435\u0433\u043e \u0441\u0442\u0430\u0440\u0442\u0430\u043f-\u043f\u0440\u043e\u0435\u043a\u0442\u0430 <a href=\"https:\/\/auditmind.tech\" rel=\"noopener nofollow\"><strong>Auditmind<\/strong><\/a>\u00a0(\u0434\u0435\u043b\u0430\u044e \u0441\u043e \u0441\u0432\u043e\u0438\u043c \u043a\u043e\u043b\u043b\u0435\u0433\u043e\u0439 \u043f\u043e \u0446\u0435\u0445\u0443). \u0414\u043b\u044f \u0442\u0435\u0445, \u043a\u0442\u043e \u0445\u043e\u0447\u0435\u0442 \u043f\u043e\u0442\u0435\u0441\u0442\u0438\u0442\u044c \u0438 \u0443\u043a\u0430\u0437\u0430\u0442\u044c \u043c\u043d\u0435 \u043d\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b (\u0430 \u044f \u0438\u0445 \u0441 \u0443\u0434\u043e\u0432\u043e\u043b\u044c\u0441\u0442\u0432\u0438\u0435\u043c \u043f\u0440\u0438\u043c\u0443) &#8212; \u043c\u043e\u0436\u0435\u0442\u0435 \u043d\u0430\u00a0<a href=\"http:\/\/idor.kovachvl.pro\" rel=\"noopener nofollow\"><strong>idor.kovachvl.pro<\/strong><\/a>\u00a0\u0441\u043a\u0438\u043d\u0443\u0442\u044c \u043a\u043e\u0434, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0443 \u043d\u0430\u0441 \u043d\u0435 \u043b\u043e\u0432\u0438\u0442, \u0438\u043b\u0438 \u0436\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u043c\u043d\u0435 \u0432 \u0422\u0413: <a href=\"https:\/\/t.me\/raqwee\" rel=\"noopener nofollow\"><strong>@raqwee<\/strong><\/a>.<\/p>\n<p>\u041d\u0430 \u044d\u0442\u043e\u043c \u043f\u043e\u043a\u0430 \u0432\u0441\u0451. \u0415\u0441\u043b\u0438 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430 \u0442\u0435\u043c\u0430 AppSec, \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0438 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0430\u044f \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u044d\u0442\u043e\u0433\u043e \u044f\u0434\u0440\u0430 &#8212; \u044f  \u043f\u0438\u0448\u0443 \u043e\u0431 \u044d\u0442\u043e\u043c \u0432 \u0422\u0413-\u043a\u0430\u043d\u0430\u043b\u0435 <a href=\"https:\/\/t.me\/kovachvl_sec\" rel=\"noopener nofollow\"><strong>@kovachvl_sec<\/strong><\/a>, \u0447\u0435\u043c \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u044e \u0441\u0442\u0430\u0442\u044c\u0438 \u043d\u0430 \u0425\u0430\u0431\u0440\u0435.<\/p>\n<\/div>\n<p>\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/1081744\/\">https:\/\/habr.com\/ru\/articles\/1081744\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442. \u041f\u0430\u0440\u0443 \u043c\u0435\u0441\u044f\u0446\u0435\u0432 \u043b\u043e\u043c\u0430\u043b \u0441\u0435\u0431\u0435 \u0433\u043e\u043b\u043e\u0432\u0443, \u043f\u043e\u0447\u0435\u043c\u0443 \u043d\u0438\u043a\u0442\u043e \u0432 \u043a\u043e\u0434\u0435 \u043d\u0435 \u0438\u0449\u0435\u0442 IDOR-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438. \u041e\u0442\u0432\u0435\u0442\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u043b \u0440\u0430\u0437\u043d\u044b\u0435: \u0447\u0442\u043e \u0432 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 \u0441\u043b\u0443\u0447\u0430\u0435\u0432 \u043c\u044b \u0431\u0443\u0434\u0435\u043c \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c FP\/FN \u0432 \u043a\u043e\u0434\u0435, \u0434\u0430 \u0438 \u0437\u0430\u0447\u0435\u043c \u0438\u0445 \u0438\u0441\u043a\u0430\u0442\u044c, \u0435\u0441\u043b\u0438 \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c DAST? \u041d\u043e \u0431\u0430\u0437\u043e\u0432\u044b\u0439 DAST \u043c\u043e\u0436\u0435\u0442 \u043d\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c, \u0435\u0441\u043b\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u043d\u0430 \u0436\u0451\u0441\u0442\u043a\u043e\u043c SPA \u0438\u043b\u0438 \u0436\u0435 \u0443 \u043d\u0435\u0433\u043e \u0444\u0438\u0433\u043e\u0432\u044b\u0439 \u043a\u0440\u0430\u0443\u043b\u0435\u0440. \u0418 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u043d\u0435\u0439 \u043d\u0430\u0437\u0430\u0434 \u0434\u043e\u043f\u0438\u0441\u0430\u043b \u043c\u043e\u0434\u0443\u043b\u044c (\u0438\u043b\u0438 \u044f\u0434\u0440\u043e) \u0434\u043b\u044f \u0434\u0435\u0442\u0435\u043a\u0442\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 IDOR \u0434\u043b\u044f \u042f\u041f Python.\u0413\u043b\u0430\u0432\u043d\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f \u0445\u043e\u0442\u0435\u043b \u043e\u0442\u0432\u0435\u0442\u0438\u0442\u044c \u044d\u0442\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u043e\u0439, \u0437\u0432\u0443\u0447\u0438\u0442 \u0442\u0430\u043a:\u041c\u043e\u0436\u043d\u043e \u043b\u0438 \u0438\u0441\u043a\u0430\u0442\u044c IDOR \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u043d\u0435 \u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a\u0430\u043c\u0438, \u0430 \u0447\u0435\u0440\u0435\u0437 \u0430\u043d\u0430\u043b\u0438\u0437 \u0441\u0432\u044f\u0437\u0438 \u043c\u0435\u0436\u0434\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u043c \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u043c, \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u043c \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u043e\u0439 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438?\u0414\u0430\u043b\u044c\u0448\u0435 \u0432\u0441\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 \u044d\u0442\u043e\u0442 \u0432\u043e\u043f\u0440\u043e\u0441: \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e, \u0447\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u043d\u0430\u0434\u043e \u043f\u043e\u0439\u043c\u0430\u0442\u044c, \u043f\u043e\u0442\u043e\u043c \u043f\u043e\u0447\u0435\u043c\u0443 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u043f\u043e\u0434\u0445\u043e\u0434\u044b \u044d\u0442\u043e \u043d\u0435 \u043b\u043e\u0432\u044f\u0442, \u043f\u043e\u0442\u043e\u043c \u043a\u0430\u043a \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u043e \u044f\u0434\u0440\u043e, \u0438 \u0432 \u043a\u043e\u043d\u0446\u0435 &#8212; \u0447\u0442\u043e \u043e\u043d\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e \u0434\u0430\u0451\u0442 \u043d\u0430 \u0436\u0438\u0432\u043e\u043c \u043a\u043e\u0434\u0435. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435\u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 IDOR \u0438 \u043f\u0440\u0438\u043c\u0435\u0440\u044b \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u043d\u0430 Python\u0420\u0435\u0441\u0435\u0440\u0447 \u043d\u0430 \u044d\u0442\u0443 \u0442\u0435\u043c\u0443, \u043a\u0430\u043a\u0438\u0435 \u0435\u0441\u0442\u044c \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0438 \u0442\u0435\u0441\u0442\u044b\u041a\u0430\u043a \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043c\u043e\u0434\u0443\u043b\u044c \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u0435\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043a\u0430\u043a \u0431\u0430\u0437\u043e\u0432\u044b\u0439 Taint-\u043c\u043e\u0434\u0443\u043b\u044c\u0417\u0430\u043c\u0435\u0440 \u043d\u0430 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430\u0445\u0412\u044b\u0432\u043e\u0434\u044b1. \u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 IDOR?\u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043d\u0430\u0447\u043d\u0451\u043c \u0441 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0442\u0430\u043a\u043e\u0435 IDOR? IDOR (Insecure Direct Object Reference) &#8212; \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043d\u0435\u0441\u0430\u043d\u043a\u0446\u0438\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u043c \u0434\u0430\u043d\u043d\u044b\u043c \u0438\u043b\u0438 \u0447\u0443\u0436\u0438\u043c \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u0430\u043c \u0438\u0437-\u0437\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u0430\u0432 \u043d\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u041d\u0443 \u0438\u0437 \u043f\u0440\u043e\u0441\u0442\u044b\u0445 \u043f\u0440\u0438\u043c\u0435\u0440\u043e\u0432 \u0432\u0437\u044f\u0442\u044c, \u0447\u0442\u043e \u0443 \u0432\u0430\u0441 \u0435\u0441\u0442\u044c \u0434\u0432\u0435 \u043a\u0432\u0430\u0440\u0442\u0438\u0440\u044b. \u041e\u0434\u043d\u0430 \u0432\u0430\u0448\u0430, \u0432\u0442\u043e\u0440\u0430\u044f \u0434\u0440\u0443\u0433\u0430. \u041f\u043e \u0441\u0443\u0442\u0438, \u0432\u044b \u0432 \u043a\u0432\u0430\u0440\u0442\u0438\u0440\u0443 \u0434\u0440\u0443\u0433\u0430 \u043d\u0435 \u043c\u043e\u0436\u0435\u0442\u0435 \u0437\u0430\u0439\u0442\u0438 \u0431\u0435\u0437 \u043a\u043b\u044e\u0447\u0430, \u043d\u043e \u0432\u044b \u043d\u0430\u0448\u043b\u0438 \u043e\u0431\u0445\u043e\u0434 \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f.\u0414\u0430\u0432\u0430\u0439 \u0442\u0435\u043f\u0435\u0440\u044c \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u0433\u0434\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c IDOR \u0432 \u043a\u043e\u0434\u0435. \u0411\u0430\u0437\u043e\u0432\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u0440 \u043d\u0430 Flask:from flask import Flask, g, jsonifyfrom models import Invoiceapp = Flask(__name__)@app.route(&#171;\/invoice\/&lt;int:invoice_id&gt;&#187;)@login_requireddef get_invoice(invoice_id):    invoice = Invoice.query.get(invoice_id)    return jsonify(invoice.to_dict())@app.route(&#171;\/invoice\/&lt;int:invoice_id&gt;&#187;)\u00a0&#8212; \u044d\u0442\u043e \u0434\u0435\u043a\u043e\u0440\u0430\u0442\u043e\u0440, \u0441\u0432\u044f\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0439 URL \u0441 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439.\u00a0&lt;int:invoice_id&gt;\u00a0&#8212; \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0439 URL-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440. \u041e\u043d \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0447\u0430\u0441\u0442\u044c URL \u043f\u043e\u0441\u043b\u0435\u00a0\/invoice\/\u00a0\u0431\u0443\u0434\u0435\u0442 \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u0430 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u044e \u043a\u0430\u043a \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f\u00a0invoice_id, \u043f\u0440\u0438\u0447\u0451\u043c Flask \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u0435\u043e\u0431\u0440\u0430\u0437\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0435\u0451 \u0432 \u0446\u0435\u043b\u043e\u0435 \u0447\u0438\u0441\u043b\u043e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0435\u0441\u043b\u0438 \u0432\u044b \u0432\u0432\u0435\u0434\u0451\u0442\u0435\u00a0\/invoice\/abc, \u0442\u043e \u0432\u0430\u043c \u0432\u0435\u0440\u043d\u0451\u0442\u0441\u044f 404.login_required\u00a0&#8212; \u0434\u0435\u043a\u043e\u0440\u0430\u0442\u043e\u0440 \u0437\u0430\u0449\u0438\u0442\u044b, \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0443 \u0434\u043b\u044f \u043d\u0435\u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043d\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u043b\u043e\u0433\u0438\u043d\u0430.def get_invoice(invoice_id):\u00a0&#8212; \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0449\u0435\u0439 \u0437\u0430\u043f\u0440\u043e\u0441. \u041e\u043d\u0430 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442\u00a0invoice_id\u00a0\u0438\u0437 URL.invoice = Invoice.query.get(invoice_id)\u00a0&#8212; \u0437\u0430\u043f\u0440\u043e\u0441 \u043a \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e ORM. \u041c\u0435\u0442\u043e\u0434\u00a0.get()\u00a0\u0438\u0449\u0435\u0442 \u0437\u0430\u043f\u0438\u0441\u044c \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435\u00a0Invoice\u00a0\u043f\u043e \u0435\u0451 \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u043e\u043c\u0443 \u043a\u043b\u044e\u0447\u0443 (ID).return jsonify(invoice.to_dict())\u00a0&#8212; \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c \u043f\u043e \u043f\u043e\u0440\u044f\u0434\u043a\u0443.\u00a0invoice.to_dict()\u00a0&#8212; \u044d\u0442\u043e \u043c\u0435\u0442\u043e\u0434 \u043c\u043e\u0434\u0435\u043b\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043e\u0431\u044a\u0435\u043a\u0442 \u0411\u0414 \u0432 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 Python-\u0441\u043b\u043e\u0432\u0430\u0440\u044c (\u0442.\u043a. \u043e\u0431\u044a\u0435\u043a\u0442\u044b \u0411\u0414 \u043d\u0435\u043b\u044c\u0437\u044f \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u043f\u0440\u0435\u0432\u0440\u0430\u0442\u0438\u0442\u044c \u0432 JSON).\u00a0jsonify(&#8230;)\u00a0&#8212; \u0444\u0443\u043d\u043a\u0446\u0438\u044f Flask, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043a\u043e\u043d\u0432\u0435\u0440\u0442\u0438\u0440\u0443\u0435\u0442 \u0441\u043b\u043e\u0432\u0430\u0440\u044c \u0432 \u0441\u0442\u0440\u043e\u043a\u0443 \u0444\u043e\u0440\u043c\u0430\u0442\u0430 JSON \u0438 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0439 HTTP-\u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a\u00a0Content-Type: application\/json.\u0427\u0442\u043e \u0436\u0435 \u0437\u0434\u0435\u0441\u044c \u043d\u0435 \u0442\u0430\u043a?\u041e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u0430\u0432 \u0434\u043e\u0441\u0442\u0443\u043f\u0430. \u041a\u043e\u0434 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0447\u0442\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u043b\u043e\u0433\u0438\u043d\u0438\u043b\u0441\u044f (\u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e\u00a0@login_required), \u043d\u043e \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0447\u0442\u043e \u043f\u0440\u0438\u043d\u0430\u0434\u043b\u0435\u0436\u0438\u0442 \u044d\u0442\u043e\u0442 \u0441\u0447\u0451\u0442 \u0438\u043c\u0435\u043d\u043d\u043e \u0435\u043c\u0443. \u041b\u044e\u0431\u043e\u0439 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043c\u043e\u0436\u0435\u0442 \u043f\u0435\u0440\u0435\u0431\u0438\u0440\u0430\u0442\u044c\u00a0invoice_id\u00a0\u0432 URL \u0438 \u0432\u0438\u0434\u0435\u0442\u044c \u0447\u0443\u0436\u0438\u0435 \u0441\u0447\u0435\u0442\u0430.\u0412\u043e\u043e\u0431\u0449\u0435 \u0441\u0442\u0430\u0442\u044c\u044f \u043d\u0435 \u043f\u0440\u043e \u0442\u043e, \u043a\u0430\u043a \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043a\u043e\u0434, \u043d\u043e \u044f \u0432\u0441\u0451-\u0442\u0430\u043a\u0438 \u043f\u043e\u043a\u0430\u0436\u0443 \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f \u0431\u044b \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043b:@app.route(&#171;\/invoice\/&lt;int:invoice_id&gt;&#187;)@login_requireddef get_invoice(invoice_id):    invoice = Invoice.query.filter_by(        id=invoice_id,        owner_id=current_user.id,     # \u0432\u043e\u0442 \u044d\u0442\u043e \u0438 \u0435\u0441\u0442\u044c \u0437\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 IDOR    ).first_or_404()    return jsonify(invoice.to_dict())\u0413\u043b\u0430\u0432\u043d\u0443\u044e \u043c\u044b\u0441\u043b\u044c \u0434\u043e\u043d\u0435\u0441\u0442\u0438: \u043e\u0442 IDOR \u0437\u0430\u0449\u0438\u0449\u0430\u0435\u0442\u00a0\u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043f\u0440\u0430\u0432. \u041b\u0438\u0431\u043e \u0441\u0443\u0436\u0430\u0435\u043c \u0432\u044b\u0431\u043e\u0440\u043a\u0443 \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0435\u043c, \u043a\u0430\u043a \u0437\u0434\u0435\u0441\u044c, \u043b\u0438\u0431\u043e \u0434\u043e\u0441\u0442\u0430\u0451\u043c \u043e\u0431\u044a\u0435\u043a\u0442 \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u043c\u00a0invoice.owner_id\u00a0\u0441 \u0442\u0435\u043a\u0443\u0449\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c, \u0430 \u0438\u043d\u0430\u0447\u0435 \u043e\u0442\u043a\u0430\u0437.UUID \u0432\u043c\u0435\u0441\u0442\u043e \u0438\u043d\u043a\u0440\u0435\u043c\u0435\u043d\u0442\u043d\u043e\u0433\u043e id \u0438 rate-limit \u0442\u043e\u0436\u0435 \u0441\u0442\u043e\u0438\u0442 \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c, \u043d\u043e \u043d\u0435 \u043f\u0443\u0442\u0430\u0439\u0442\u0435 \u0438\u0445 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439. \u041e\u043d\u0438 \u0443\u0441\u043b\u043e\u0436\u043d\u044f\u044e\u0442 \u043f\u0435\u0440\u0435\u0431\u043e\u0440, \u0430 \u0441\u0430\u043c\u0443 \u0434\u044b\u0440\u0443 \u043d\u0435 \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u044e\u0442: \u0435\u0441\u043b\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0443\u0437\u043d\u0430\u043b \u0447\u0443\u0436\u043e\u0439 UUID (\u0438\u0437 \u043b\u043e\u0433\u043e\u0432, \u0438\u0437 \u0441\u0441\u044b\u043b\u043a\u0438, \u0438\u0437 \u0432\u044b\u0434\u0430\u0447\u0438 \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0430) &#8212; \u043e\u043d \u0432\u0441\u0451 \u0442\u0430\u043a \u0436\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0447\u0443\u0436\u043e\u0439 \u0441\u0447\u0451\u0442. \u041f\u0435\u0440\u0435\u0431\u043e\u0440 &#8212; \u044d\u0442\u043e \u0441\u043f\u043e\u0441\u043e\u0431 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438, \u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0441\u0435\u0440\u0432\u0435\u0440 \u043d\u0435 \u0441\u043f\u0440\u043e\u0441\u0438\u043b \u00ab\u0430 \u044d\u0442\u043e \u0442\u0432\u043e\u0451?\u00bb.2. Research \u043d\u0430 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0443 \u0434\u0440\u0443\u0433\u0438\u0445 \u0438 \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440 \u0441\u0442\u0430\u0442\u0435\u0439\u041f\u043e\u0442\u044b\u043a\u0430\u0432 \u0432\u0441\u0435\u043c\u0438\u0440\u043d\u0443\u044e \u043f\u0430\u0443\u0442\u0438\u043d\u0443 \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u043b\u043e\u0432\u044f\u0442 IDOR-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043d\u0430\u0442\u044b\u043a\u0430\u043b\u0441\u044f \u043d\u0430 \u043f\u0430\u0440\u0443 \u0441\u0442\u0430\u0442\u0435\u0439 \u0438 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0435\u0432, \u043d\u043e \u0442\u0430\u043a \u0442\u0430\u043a\u043e\u0432\u0443\u044e \u043b\u043e\u0433\u0438\u043a\u0443 \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043b. \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c \u043f\u0430\u0440\u0443 \u0441\u0442\u0430\u0442\u0435\u0439\/\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0435\u0432. \u0412\u043e\u0437\u044c\u043c\u0451\u043c \u043f\u0440\u0438\u0431\u043b\u0438\u0436\u0435\u043d\u043d\u0443\u044e \u0442\u0435\u043c\u0443 \u043a \u043c\u043e\u0435\u0439 \u0442\u0435\u043c\u0435.Guardmarly\u00a0&#8212; \u0441\u0432\u0435\u0436\u0438\u0439 \u043f\u0440\u043e\u0435\u043a\u0442 \u043d\u0430 GitHub, \u043f\u043e\u0437\u0438\u0446\u0438\u043e\u043d\u0438\u0440\u0443\u044e\u0449\u0438\u0439 \u0441\u0435\u0431\u044f \u043a\u0430\u043a \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 IDOR-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043a\u043e\u0434\u0435, \u0430\u0436 \u043d\u0430 5 \u044f\u0437\u044b\u043a\u0430\u0445 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f. \u041f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0432 \u044f\u0434\u0440\u043e \u043f\u043e \u043b\u043e\u0432\u043b\u0435 IDOR, \u043d\u0430\u0448\u0451\u043b \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c: \u0438\u0445 \u0441\u0443\u043f\u0440\u0435\u0441\u0441\u043e\u0440\u00a0ast.walk\u00a0\u0434\u0435\u043b\u0430\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043f\u043e \u0432\u0441\u0435\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0441 \u0431\u0443\u043b\u0435\u0432\u044b\u043c \u0444\u043b\u0430\u0433\u043e\u043c. \u041d\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e \u0432\u0435\u0442\u0432\u044f\u043c, \u043f\u043e\u0440\u044f\u0434\u043a\u0430 \u0438 \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043e\u0431\u044a\u0435\u043a\u0442\u0430. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0432 \u043c\u0451\u0440\u0442\u0432\u043e\u0439 \u0432\u0435\u0442\u043a\u0435, \u043f\u043e\u0441\u043b\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f, \u043d\u0435 \u0442\u043e\u0433\u043e \u043e\u0431\u044a\u0435\u043a\u0442\u0430, \u0441 \u043f\u0440\u043e\u0433\u043b\u043e\u0447\u0435\u043d\u043d\u044b\u043c \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c &#8212; \u0432\u0441\u0451 \u0437\u0430\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u0437\u0430\u0449\u0438\u0442\u0430. \u041f\u043e\u043b\u0435\u0437\u043d\u0435\u0435 \u0432\u0441\u0435\u0433\u043e \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u043d\u0430\u0445\u043e\u0434\u043a\u0430 \u043f\u0440\u0438 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u0438\u0438 \u044f\u0434\u0440\u0430. \u042f \u0440\u0435\u0448\u0438\u043b \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u0441\u0432\u043e\u0451 \u044f\u0434\u0440\u043e \u0438 \u044f\u0434\u0440\u043e Guardmarly, \u043f\u043e\u044f\u0432\u0438\u043b\u0430\u0441\u044c \u043e\u0434\u043d\u0430 \u043d\u0430\u0445\u043e\u0434\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u044f \u043d\u0435 \u043f\u043e\u043a\u0440\u044b\u0432\u0430\u043b &#8212; \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044e \u0438\u0445). \u041f\u043e \u043c\u043e\u0435\u043c\u0443 \u043c\u043d\u0435\u043d\u0438\u044e, \u044f\u0434\u0440\u043e \u043f\u043e IDOR \u043d\u0435 \u043e\u0441\u043e\u0431\u043e \u0445\u043e\u0440\u043e\u0448\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442, \u0442.\u043a. \u0443 \u043d\u0438\u0445 \u0448\u0438\u0440\u043e\u043a\u0430\u044f \u0441\u0435\u0442\u043a\u0430 \u043f\u043e \u043c\u043d\u043e\u0433\u0438\u043c \u044f\u0437\u044b\u043a\u0430\u043c \u0438 \u043a\u043b\u0430\u0441\u0441\u0430\u043c, \u0433\u0434\u0435 IDOR \u043b\u043e\u0432\u0438\u0442\u0441\u044f \u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a\u043e\u0439, \u0430 \u043c\u043d\u0435 \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0434\u043e\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u043e\u0439\u043c\u0430\u0442\u044c IDOR \u043c\u043e\u0436\u043d\u043e \u043c\u0430\u0442\u0435\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043b\u043e\u0433\u0438\u043a\u043e\u0439.\u0421\u0442\u0430\u0442\u044c\u044f \u0411\u0430\u0440\u0430\u0431\u0430\u043d\u043e\u0432\u0430, \u0414\u0435\u0440\u0433\u0443\u043d\u043e\u0432\u0430, \u041c\u0430\u043a\u0440\u0443\u0448\u0438\u043d\u0430 \u0438 \u0422\u0435\u043f\u043b\u043e\u0432\u0430. \u0412\u0445\u043e\u0434 \u0443 \u043d\u0438\u0445 \u0442\u043e\u043b\u044c\u043a\u043e OpenAPI-\u0441\u043f\u0435\u043a\u0430. \u041d\u0438 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u043e\u0432, \u043d\u0438 \u0442\u0440\u0430\u0444\u0438\u043a\u0430. \u0417\u0434\u0435\u0441\u044c \u0435\u0441\u0442\u044c \u0434\u0432\u0430 \u044d\u0442\u0430\u043f\u0430: \u0440\u0430\u0437\u043c\u0435\u0442\u0438\u0442\u044c \u0441\u043f\u0435\u043a\u0443 \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u0430\u043c\u0438, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u043c\u0438 \u0441 BOLA, \u0437\u0430\u0442\u0435\u043c \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0440\u0430\u0437\u043c\u0435\u0447\u0435\u043d\u043d\u043e\u0435 \u0441 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u043c \u043f\u0430\u0442\u0442\u0435\u0440\u043d\u043e\u0432 \u0430\u0442\u0430\u043a. \u0424\u0443\u043d\u0434\u0430\u043c\u0435\u043d\u0442 \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0438\u0437 14 \u0433\u0440\u0443\u043f\u043f \u0430\u0442\u0430\u043a, \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043f\u043e bug bounty \u0438 \u0430\u043a\u0430\u0434\u0435\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0440\u0430\u0431\u043e\u0442. \u0422\u0430\u043a\u0436\u0435 \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0432 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u043c\u0435\u043d\u0442\u044b \u0432 \u043a\u043e\u0434\u0435, \u043f\u043e\u043d\u044f\u043b, \u0447\u0442\u043e \u043d\u0435\u0442 \u043e\u0445\u0432\u0430\u0442\u0430 \u043e\u0434\u043d\u043e\u0439 \u0448\u0442\u0443\u043a\u0438:\u00a0\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u0440\u0443\u0433\u0438\u043c \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u043e\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430: \/buckets \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u0440\u0435\u0441\u0443\u0440\u0441 \u0438 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0435\u0433\u043e ID, \u0430 \/buckets\/{bucketID} \u0435\u0433\u043e \u043f\u043e\u0442\u0440\u0435\u0431\u043b\u044f\u0435\u0442.\u041f\u043e\u0447\u0435\u043c\u0443 \u043c\u0435\u043d\u044f \u043d\u0435\u043b\u044c\u0437\u044f \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0442\u044c \u0441 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0451\u0439? \u0412 \u0441\u043f\u0435\u043a\u0435\u00a0GET \/orders\/{order_id}\u00a0\u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0430\u0431\u0441\u043e\u043b\u044e\u0442\u043d\u043e \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u043e \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e \u043e\u0442 \u0442\u043e\u0433\u043e, \u0435\u0441\u0442\u044c \u0432 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0432\u043b\u0430\u0434\u0435\u043d\u0438\u044f \u0438\u043b\u0438 \u043d\u0435\u0442. \u0421\u043f\u0435\u043a\u0430 \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043d\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043e\u0442\u0432\u0435\u0442\u0430 \u043d\u0430 \u043d\u0430\u0448 \u0432\u043e\u043f\u0440\u043e\u0441, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043d\u0435 \u043d\u0430\u0448 \u0432\u044b\u0445\u043e\u0434. \u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u0434\u0430\u043b\u0430 \u043c\u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u0435\u0439\u0441\u044b \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0435 \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u043e\u0432 \u044f\u0434\u0440\u0430.Semgrep \u0438 CodeQL.\u00a0Semgrep \u0432\u044b\u043d\u043e\u0441\u0438\u0442 IDOR \u0432 LLM-\u043f\u0440\u043e\u0434\u0443\u043a\u0442, \u0430 \u043d\u0435 \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u0430. \u0418\u0445 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u0430\u044f \u0446\u0438\u0444\u0440\u0430: \u00ab\u0422\u043e\u0447\u043d\u043e\u0441\u0442\u044c 61% \u0443 \u0430\u0433\u0435\u043d\u0442\u0430 \u0441 Semgrep \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u043c \u043f\u0440\u043e\u0442\u0438\u0432 22% \u0443 \u0447\u0438\u0441\u0442\u043e\u0433\u043e LLM, \u0433\u0434\u0435 88% \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u043e\u043a\u0430\u0437\u0430\u043b\u0438\u0441\u044c \u043b\u043e\u0436\u043d\u044b\u043c\u0438\u00bb. \u0422.\u0435. \u0441\u0430\u043c Semgrep \u043f\u0440\u0438\u0437\u043d\u0430\u0451\u0442, \u0447\u0442\u043e \u0434\u0435\u0442\u0435\u0440\u043c\u0438\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 \u0437\u0430\u0434\u0430\u0447\u0443 \u043d\u0435 \u0437\u0430\u043a\u0440\u044b\u0442\u044c.CodeQL &#8212; \u043c\u043e\u0449\u043d\u0430\u044f \u0448\u0442\u0443\u043a\u0430, \u0438 \u044f \u043d\u0435 \u0433\u043e\u0432\u043e\u0440\u044e, \u0447\u0442\u043e \u043e\u043d \u0442\u0430\u043a\u043e\u0435 \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435: \u0443 \u043d\u0435\u0433\u043e \u0435\u0441\u0442\u044c \u0438 \u043c\u0435\u0436\u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0437, \u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u0438\u0441\u0430\u0442\u044c \u0441\u0432\u043e\u0438 \u043f\u0440\u0435\u0434\u0438\u043a\u0430\u0442\u044b. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432 \u0434\u0440\u0443\u0433\u043e\u043c.\u00a0\u041a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u043f\u043e\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430\u00a0source -&gt; sink\u00a0\u0441\u0430\u043c\u0430 \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0435 \u0432\u044b\u0440\u0430\u0436\u0430\u0435\u0442 \u0441\u0435\u043c\u0430\u043d\u0442\u0438\u043a\u0443 IDOR.\u00a0\u041e\u043d\u0430 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 \u0432\u043e\u043f\u0440\u043e\u0441 \u00ab\u0434\u043e\u0448\u043b\u0438 \u043b\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e\u0442 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430 \u0434\u043e \u043f\u0440\u0438\u0451\u043c\u043d\u0438\u043a\u0430\u00bb, \u0430 IDOR &#8212; \u044d\u0442\u043e \u0432\u043e\u043f\u0440\u043e\u0441 \u043e\u0431\u00a0\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0438: \u00ab\u0434\u043e\u0448\u0451\u043b \u043b\u0438 \u043f\u043e\u0434\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u0434\u043e \u0432\u044b\u0431\u043e\u0440\u043a\u0438 \u043e\u0431\u044a\u0435\u043a\u0442\u0430, \u0438 \u043d\u0435 \u0431\u044b\u043b\u043e \u043b\u0438 \u043f\u043e \u043f\u0443\u0442\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0434\u043e\u043c\u0438\u043d\u0438\u0440\u0443\u0435\u0442 \u044d\u0442\u0443 \u0432\u044b\u0431\u043e\u0440\u043a\u0443 \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u0442 \u0438\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u043e\u0442 \u043e\u0431\u044a\u0435\u043a\u0442 \u0441 \u0442\u0435\u043a\u0443\u0449\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c\u00bb. \u041f\u043e\u0442\u043e\u043a \u0442\u0443\u0442 \u0435\u0441\u0442\u044c \u0432\u0441\u0435\u0433\u0434\u0430, \u0438 \u0432 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u043c \u043a\u043e\u0434\u0435, \u0438 \u0432 \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u043e\u043c. \u0420\u0430\u0437\u043b\u0438\u0447\u0430\u0435\u0442 \u0438\u0445 \u043d\u0435 \u043f\u043e\u0442\u043e\u043a, \u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430.\u0421\u0432\u0435\u0434\u0443 \u0432 \u0442\u0430\u0431\u043b\u0438\u0447\u043a\u0443, \u0447\u0442\u043e\u0431\u044b \u0431\u044b\u043b\u043e \u0432\u0438\u0434\u043d\u043e, \u0447\u0435\u0433\u043e \u043d\u0435 \u0445\u0432\u0430\u0442\u0430\u0435\u0442 \u043a\u0430\u0436\u0434\u043e\u043c\u0443 \u043f\u043e\u0434\u0445\u043e\u0434\u0443:\u041f\u043e\u0434\u0445\u043e\u0434\u0427\u0442\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442\u0427\u0435\u0433\u043e \u043d\u0435 \u0445\u0432\u0430\u0442\u0430\u0435\u0442 \u0434\u043b\u044f IDOROpenAPI-\u0441\u043f\u0435\u043a\u0430\u043a\u043e\u043d\u0442\u0440\u0430\u043a\u0442 API\u043d\u0435 \u0432\u0438\u0434\u0438\u0442 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438: \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u044b\u0439 \u0438 \u0434\u044b\u0440\u044f\u0432\u044b\u0439 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0432 \u0441\u043f\u0435\u043a\u0435 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0435AST-\u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a\u0438\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043a\u043e\u0434\u0430\u00ab\u0433\u0434\u0435-\u0442\u043e \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0435\u0441\u0442\u044c \u0441\u043b\u043e\u0432\u043e permission\u00bb &#8212; \u043c\u043d\u043e\u0433\u043e FP \u0438 FNTaint analysis\u043f\u043e\u0442\u043e\u043a \u0434\u0430\u043d\u043d\u044b\u0445\u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u043f\u0443\u0442\u044c\u00a0source -&gt; sink, \u043d\u043e \u043d\u0435 \u043f\u043e\u043d\u0438\u043c\u0430\u0435\u0442, \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043b\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043a \u0442\u043e\u043c\u0443 \u0436\u0435 \u043e\u0431\u044a\u0435\u043a\u0442\u0443\u0414\u043b\u044f IDOR \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u043f\u0443\u0442\u044c\u00a0source -&gt; sink. \u041d\u0443\u0436\u043d\u043e \u043f\u043e\u043d\u044f\u0442\u044c, \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043b\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u0438\u043c\u0435\u043d\u043d\u043e \u043a \u0442\u043e\u043c\u0443 \u043e\u0431\u044a\u0435\u043a\u0442\u0443, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u044b\u0431\u0440\u0430\u043b \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439, \u0438 \u0441\u0442\u043e\u0438\u0442 \u043b\u0438 \u043e\u043d\u0430 \u043d\u0430 \u0442\u043e\u043c \u043f\u0443\u0442\u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u043e\u0439\u0434\u0451\u0442 \u0437\u0430\u043f\u0440\u043e\u0441. 3. \u041a\u0430\u043a \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043c\u043e\u0434\u0443\u043b\u044c \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u0435\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043a\u0430\u043a \u0431\u0430\u0437\u043e\u0432\u044b\u0439 Taint-\u043c\u043e\u0434\u0443\u043b\u044c\u041d\u0443 \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043d\u0430\u0447\u043d\u0451\u043c \u0441 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u043c\u043e\u0434\u0443\u043b\u044c \u0434\u0435\u043b\u0430\u0435\u0442? \u041f\u043e \u0441\u0443\u0442\u0438 \u0447\u0438\u0442\u0430\u0435\u0442 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a Python-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 \u043e\u0434\u0438\u043d \u0432\u043e\u043f\u0440\u043e\u0441 \u043f\u0440\u043e \u043a\u0430\u0436\u0434\u044b\u0439 HTTP-\u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a: \u00ab\u041a\u0430\u043a\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0432 \u043d\u0451\u043c \u043f\u0440\u0438\u0448\u043b\u0438 \u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043a\u0443\u0434\u0430 \u043e\u043d\u0438 \u0443\u0442\u0435\u043a\u043b\u0438 \u0438 \u0447\u0442\u043e \u0443\u0441\u043f\u0435\u043b\u043e \u0438\u0445 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u043f\u043e \u0434\u043e\u0440\u043e\u0433\u0435\u00bb.\u041c\u043e\u0434\u0443\u043b\u044c \u0440\u0430\u0437\u0440\u0435\u0437\u0430\u043d \u043d\u0430 \u0442\u0440\u0438 \u0447\u0430\u0441\u0442\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043e\u0431\u0449\u0430\u044e\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u0434\u0430\u043d\u043d\u044b\u0435, \u0430 \u043d\u0435 \u0447\u0435\u0440\u0435\u0437 \u0432\u044b\u0437\u043e\u0432\u044b \u0434\u0440\u0443\u0433 \u0434\u0440\u0443\u0433\u0430.\u0421\u043b\u043e\u0439 \u043f\u0435\u0440\u0432\u044b\u0439.\u00a0\u042f\u0434\u0440\u043e \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 \u0444\u0430\u0439\u043b\u044b \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u0438 \u043d\u0430\u0445\u043e\u0434\u0438\u0442, \u0433\u0434\u0435 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0437\u0430\u043f\u0440\u043e\u0441\u0430. \u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u044d\u0442\u043e \u043d\u0435 \u0442\u0430\u043a \u043f\u0440\u043e\u0441\u0442\u043e, \u043a\u0430\u043a \u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c. \u041e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 \u0441 \u0434\u0435\u043a\u043e\u0440\u0430\u0442\u043e\u0440\u043e\u043c \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0430, \u043c\u0435\u0442\u043e\u0434\u043e\u043c \u043a\u043b\u0430\u0441\u0441\u0430-\u0432\u044c\u044e\u0445\u0438, \u043c\u0435\u0442\u043e\u0434\u043e\u043c \u0432\u044c\u044e\u0441\u0435\u0442\u0430, \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 \u0444\u0430\u0431\u0440\u0438\u043a\u0438 blueprint&#8217;\u043e\u0432 \u0438\u043b\u0438 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0438\u0447\u0435\u043c \u043d\u0435 \u043f\u043e\u043c\u0435\u0447\u0435\u043d\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0441\u0441\u044b\u043b\u0430\u0435\u0442\u0441\u044f\u00a0urls.py. \u0421\u0435\u0439\u0447\u0430\u0441 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0430\u043d\u044b Django (\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u0438 \u043a\u043b\u0430\u0441\u0441\u044b), DRF, Flask \u0438 FastAPI.\u0421\u043b\u043e\u0439 \u0432\u0442\u043e\u0440\u043e\u0439.\u00a0\u0414\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b: \u043a\u0430\u043a\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u0448\u043b\u0438 \u0438\u0437 \u0437\u0430\u043f\u0440\u043e\u0441\u0430, \u043a\u0430\u043a\u0438\u0435 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043a \u0434\u0430\u043d\u043d\u044b\u043c \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u043b\u0438, \u043a\u0430\u043a\u0438\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0438\u0441\u044c \u0438 \u0432 \u043a\u0430\u043a\u043e\u0439 \u0432\u0435\u0442\u043a\u0435 \u043a\u043e\u0434\u0430, \u043a\u0442\u043e \u0442\u0430\u043a\u043e\u0439 \u00ab\u0442\u0435\u043a\u0443\u0449\u0438\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u00bb \u0438 \u0431\u044b\u043b \u043b\u0438 \u043e\u043d \u0432\u043e\u043e\u0431\u0449\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d.\u0421\u043b\u043e\u0439 \u0442\u0440\u0435\u0442\u0438\u0439.\u00a0\u0427\u0438\u0442\u0430\u0435\u0442 \u0444\u0430\u043a\u0442\u044b \u0438 \u0432\u044b\u043d\u043e\u0441\u0438\u0442 \u0432\u0435\u0440\u0434\u0438\u043a\u0442. \u0421\u0435\u0439\u0447\u0430\u0441 44 \u0433\u0438\u043f\u043e\u0442\u0435\u0437\u044b (\u0447\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043d\u0435 \u0442\u0430\u043a) \u0438 23 \u043f\u043e\u0434\u0430\u0432\u0438\u0442\u0435\u043b\u044f (\u043f\u043e\u0447\u0435\u043c\u0443 \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u0432\u0441\u0451 \u0432 \u043f\u043e\u0440\u044f\u0434\u043a\u0435).\u041a\u0430\u043a \u043f\u043e\u043c\u0435\u0447\u0430\u044e\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u0435?\u041c\u043e\u0434\u0443\u043b\u044c \u0440\u0430\u0437\u043b\u0438\u0447\u0430\u0435\u0442 \u043f\u044f\u0442\u044c \u0432\u0438\u0434\u043e\u0432 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f. \u041a\u0440\u0430\u0442\u043a\u043e \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u044f \u043d\u0430\u0437\u0432\u0430\u043b\u00a0SIAOD.\u041c\u0435\u0442\u043a\u0430\u0427\u0442\u043e \u044d\u0442\u043e\u041f\u0440\u0438\u043c\u0435\u0440SUBJECT\u0442\u0435\u043a\u0443\u0449\u0438\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c, \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0435\u0439request.userINPUT\u0447\u0442\u043e-\u0442\u043e, \u043f\u0440\u0438\u0448\u0435\u0434\u0448\u0435\u0435 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u0442\u0435\u043b\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430, \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043aATTACKER_SELECTED\u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440, \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u043a\u043b\u0438\u0435\u043d\u0442 \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u0442 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0439 \u043e\u0431\u044a\u0435\u043a\u0442\/orders\/&lt;id&gt;OBJECT\u0442\u043e, \u0447\u0442\u043e \u0434\u043e\u0441\u0442\u0430\u043b\u0438 \u0438\u0437 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0430\u0437\u0430\u043f\u0438\u0441\u044c \u0437\u0430\u043a\u0430\u0437\u0430DYNAMIC\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435, \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043d\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044cgetattr(model, name)\u0421\u0430\u043c\u043e\u0435 \u043d\u0435\u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e\u0435 \u0437\u0434\u0435\u0441\u044c &#8212; \u0437\u0430\u0447\u0435\u043c\u00a0INPUT\u00a0\u0438\u00a0ATTACKER_SELECTED\u00a0\u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u044b, \u0435\u0441\u043b\u0438 \u043e\u0431\u0430 \u043f\u0440\u0438\u0448\u043b\u0438 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430. \u0420\u0430\u0437\u0431\u0435\u0440\u0443 \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043d\u0430 \u044d\u0442\u043e\u043c \u0440\u0430\u0437\u043b\u0438\u0447\u0438\u0438 \u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0432\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435:@app.post(&#171;\/invoice\/&lt;int:invoice_id&gt;\/comment&#187;)@login_requireddef add_comment(invoice_id):    text = request.form[&#171;text&#187;]          # INPUT    invoice = Invoice.query.get(invoice_id)   # invoice_id &#8212; ATTACKER_SELECTED    db.session.add(Comment(invoice_id=invoice.id, text=text))    db.session.commit()    return &#171;&#187;, 201text\u00a0&#8212; \u044d\u0442\u043e\u00a0INPUT. \u041a\u043b\u0438\u0435\u043d\u0442 \u043f\u0440\u0438\u0441\u043b\u0430\u043b \u0441\u0442\u0440\u043e\u043a\u0443, \u043e\u043d\u0430 \u043f\u043e\u0435\u0434\u0435\u0442 \u0432 \u043f\u043e\u043b\u0435 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f. \u0418\u0441\u043f\u043e\u0440\u0442\u0438\u0442\u044c \u0435\u0439 \u043c\u043e\u0436\u043d\u043e \u043c\u043d\u043e\u0433\u043e\u0435: XSS, \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044e, \u043f\u0435\u0440\u0435\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 &#8212; \u043d\u043e\u00a0\u0432\u044b\u0431\u0440\u0430\u0442\u044c \u0447\u0443\u0436\u043e\u0439 \u043e\u0431\u044a\u0435\u043a\u0442 \u0435\u044e \u043d\u0435\u043b\u044c\u0437\u044f. \u041e\u043d\u0430 \u043d\u0435 \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u0435\u0442 \u0432 \u0442\u043e\u043c, \u043a\u0430\u043a\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c &#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-494513","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/494513","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=494513"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/494513\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=494513"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=494513"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=494513"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}