nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : tester l’isolation des locataires dans les filtres d’API

AdminUser

Discussion de test préremplie. Comment valider le test de l’isolation des locataires dans les filtres d’API dans le cadre d’une intervention autorisée ?

Scénario : utilisez deux locataires de test associés et essayez un filtre par ailleurs valide avec l’identifiant de l’autre locataire. Quelles mesures de protection mettriez-vous en place, quels éléments permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/46-testing-tenant-isolation-in-api-filters

Réponses

AdminUser

Méthode de test : Utilisez des tenants de test appariés et essayez un filtre par ailleurs valide avec l’identifiant de l’autre tenant. Respectez le périmètre écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Éléments de preuve : Consignez le locataire de l’appelant, le filtre, les propriétaires des enregistrements renvoyés et le statut de la réponse. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : Déduire le périmètre du locataire du contexte authentifié et l’appliquer aux requêtes. Répéter le contrôle initial après le déploiement et consigner le résultat.