Cet article explique une catégorie de faiblesse connue. Il ne présente pas une nouvelle découverte de CCS.
Qu’est-ce qu’une faille de sécurité ?
Une faiblesse devient un problème de sécurité lorsqu’elle peut exposer ou modifier des données, ou perturber un service. Elle peut provenir d’une erreur de programmation, de la configuration ou de la conception du système. [1]
Connexion et autorisation
La connexion établit l’identité d’une personne. Elle ne détermine pas les données auxquelles cette personne a droit. OWASP classe l’absence de ces vérifications dans la catégorie « Broken Access Control ». [2]
Exemple : un portail documentaire
Mira et Noah ont des comptes distincts sur un portail documentaire. Chacun ne doit voir que ses documents. Pour chaque requête, le serveur doit vérifier à qui appartient le document. Une connexion ou un numéro de document ne suffit pas. MITRE décrit cette faiblesse sous CWE-639. [3]
Ce que les développeurs doivent vérifier
Les droits doivent être vérifiés côté serveur pour chaque requête. Sans autorisation explicite, l’accès doit être refusé. Chaque personne ne doit recevoir que les droits nécessaires. Masquer des boutons ou utiliser des identifiants difficiles à deviner ne remplace pas ces vérifications. [4]
La question à poser
Il faut demander non seulement « Cette personne est-elle connectée ? », mais aussi « A-t-elle le droit de lire ou de modifier ce document précis ? » Ce sont deux questions distinctes.
Signaler une observation
Limitez vos investigations à vos systèmes ou à ceux pour lesquels vous avez une autorisation explicite. Pour contacter CCS, commencez par une courte description sans données de tiers. Contact et signalement →
Sources et lectures complémentaires
- NIST · Vulnerability ↗
- OWASP · Broken Access Control ↗
- MITRE · CWE-639 ↗
- OWASP · Authorization Cheat Sheet ↗
Sources consultées le 19 octobre 2026.