Business Logic Vulnerability

Définition

Les vulnérabilités de logique métier (Business Logic Vulnerabilities) sont des failles dans la conception ou l'implémentation des règles et des processus propres à une application, qui permettent à un attaquant de manipuler le comportement prévu de l'application à son avantage. Contrairement aux vulnérabilités techniques classiques (injection, XSS), ces failles ne peuvent pas être détectées par des scanners automatiques car elles nécessitent de comprendre le contexte métier. Des exemples représentatifs incluent : la manipulation de prix dans les applications e-commerce (modifier le prix d'un article dans les paramètres POST, passer un prix négatif pour être crédité, ou modifier le total de commande après validation), le contournement de limites (appliquer un coupon de réduction plusieurs fois malgré une limite d'utilisation unique, transférer plus de fonds que le solde disponible via des race conditions), et l'exploitation d'états intermédiaires (compléter partiellement un flux multi-étapes puis reprendre depuis un état différent). Les race conditions sont une sous-catégorie importante : deux requêtes simultanées peuvent contourner des vérifications 'vérifier puis agir' (check-then-act). Par exemple, un transfert bancaire vérifie le solde (100€), deux transferts simultanés de 100€ passent tous les deux car chacun voit un solde de 100€ avant que l'autre ait débité. Des outils comme Turbo Intruder (extension Burp) permettent d'envoyer des requêtes simultanées avec une précision de quelques millisecondes. D'autres patterns incluent : la manipulation de workflows (sauter des étapes de validation, reprendre un workflow à une étape antérieure), les IDOR (Insecure Direct Object References - accéder aux ressources d'autres utilisateurs en modifiant un ID), et les mass assignment (assigner des attributs non prévus en exploitant des APIs qui acceptent des propriétés supplémentaires non filtrées). Les vulnérabilités de logique métier sont particulièrement valorisées dans les programmes de bug bounty car elles démontrent une compréhension approfondie de l'application et ont souvent un impact métier direct (pertes financières, violation de la confidentialité).