Segurança de aplicações
Relatório demonstrativo de avaliação
Estrutura de entrega para uma avaliação focada de aplicação web e API.
Este documento não descreve um cliente ou sistema real. Endpoints, usuários, evidências e resultados foram criados exclusivamente para demonstrar o formato de entrega.
01 / CONTEXTOEscopo e limitações
Incluído
- Aplicação web e API de demonstração
- Perfis fictícios de usuário e gestor
- Autenticação, autorização e sessões
- Fluxos principais da aplicação
Fora do escopo
- Engenharia social
- Negação de serviço
- Infraestrutura de terceiros
- Alteração de dados reais
02 / VISÃO GERALResumo executivo
A avaliação demonstrativa identificou uma falha de controle de acesso que permite a um usuário comum consultar um recurso reservado ao perfil de gestão. O achado foi reproduzido manualmente e classificado como alto pela possibilidade de exploração remota, baixa complexidade e impacto potencial sobre dados.
| Severidade | Quantidade | Situação |
|---|---|---|
| Alta | 1 | Correção prioritária |
| Informativa | 1 | Controle positivo |
| Crítica / Média / Baixa | 0 | Sem ocorrências |
03 / ACHADOSDetalhamento técnico
H-01 — Controle de acesso ausente em endpoint administrativo
AltaDescrição
O frontend não apresenta a função administrativa para usuários comuns, mas a API não confirma o perfil antes de retornar o recurso. Ocultar o controle na interface não impede uma chamada direta ao endpoint.
Evidência sanitizada
Requisição realizada com a sessão de um usuário comum por meio do Burp Suite Repeater:
GET /api/admin/relatorios/42 HTTP/1.1
Host: app.exemplo.test
Authorization: Bearer token_usuario_comum
Accept: application/json
HTTP/1.1 200 OK
Content-Type: application/json
{ "id": 42, "status": "conteudo_ficticio", "owner": "gestao" }
Impacto
Um usuário autenticado poderia acessar informações destinadas a outro perfil. Em uma aplicação real, o impacto dependeria do tipo de dado retornado e das ações permitidas pelo endpoint.
Orientação para correção
- Validar autorização no backend em todas as rotas administrativas.
- Aplicar política de negação por padrão.
- Não utilizar visibilidade da interface como controle de segurança.
- Adicionar testes automatizados cobrindo acessos entre perfis.
- Revisar endpoints que utilizem o mesmo middleware.
Critério para reteste
O endpoint deve retornar 403 Forbidden para o perfil comum e continuar disponível apenas para usuários autorizados.
04 / CONTROLESControle positivo
I-01 — Cookies de sessão protegidos
Os cookies observados utilizam os atributos Secure, HttpOnly e SameSite. O controle reduz exposição a determinados ataques no navegador.
05 / PRIORIZAÇÃOPlano de ação
| Prioridade | Ação | Prazo sugerido |
|---|---|---|
| P1 | Corrigir autorização no backend | Antes do próximo release |
| P1 | Revisar rotas com o mesmo middleware | Mesmo ciclo |
| P2 | Criar testes automatizados entre perfis | Próxima sprint |
| P2 | Realizar reteste independente | Após a correção |
06 / MÉTODOObservação sobre ferramentas
O Burp Suite foi utilizado para interceptar, modificar e reproduzir requisições. A ferramenta apoiou a execução; a identificação do cenário, a validação do impacto e a classificação do risco dependeram de análise manual.