LAB-01 / Контроль доступу
Демонстраційні дані. Не клієнтський кейс і не результат перевірки реального сайту.
- Знахідка
- Користувач отримує чужий запис, змінюючи ID у запиті.
- Доказ
GET /api/records/other → 200- Виправлення
- Перевіряти власника запису на сервері до повернення даних.
- Критерій ретесту
- Чужий запис → 403. Власний → 200. Перевірити обидва сценарії.
Що ще має бути у повному звіті?
Погоджений обсяг, дата та середовище, метод перевірки, докази, обмеження, пріоритет виправлення і статус повторної перевірки.


