論文の概要: Broken Object Level Authorization in the Wild: An Empirical Taxonomy from 100+ Bug Bounty Disclosures

• arxiv url: http://arxiv.org/abs/2605.25865v1
• Date: Mon, 25 May 2026 13:55:24 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-05-26 19:50:20.238843
• Title: Broken Object Level Authorization in the Wild: An Empirical Taxonomy from 100+ Bug Bounty Disclosures
• Title（参考訳）: 野生における破壊的オブジェクトレベルの認証:100以上のバグバウンティ開示からの実証的分類
• Authors: Bandana Kaur,
• Abstract要約: Broken Object Level Authorization (ABOL)は、APIセキュリティの最も重要な脆弱性を一貫してランク付けしている。 本論文は,BOLAの大規模実験分析として,公開バグ報奨金を報告した最初の事例である。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Broken Object Level Authorization (BOLA) is consistently ranked the most critical API security vulnerability, yet the existing literature remains almost entirely conceptual. This paper presents one of the first large-scale empirical analyses of BOLA in publicly disclosed bug bounty reports. We constructed a reproducible sampling frame of 200 HackerOne disclosures tagged IDOR or Improper Access Control (2021-2026) and applied a three-criterion inclusion filter, yielding 107 fully classified reports. Classification used an LLM-assisted schema-completion procedure under constrained, human-adjudicated criteria against a six-family BOLA taxonomy. Of 107 classified reports, 84 (78.5%) were confirmed in-scope BOLA. Action-Level Object BOLA, defined by unauthorized state-changing actions on another user's objects, accounts for 41.7% of confirmed cases and emerges alongside Direct Object Reference BOLA as one of the two dominant families observed in the dataset. This shows a pattern historically underrepresented in practitioner guidance. Approximately 21.5% of classified reports are out-of-scope under strict criteria, indicating that tag-counting on platforms like HackerOne significantly overstates the BOLA-specific signal. We report distributions across family, action type, authorization direction, industry sector, identifier format, and exploit mechanism. Key secondary findings include an 11.9% rate of vertical (user-to-admin) privilege failures and systematic exploitation of GraphQL Global IDs across major platforms. Findings have direct implications for API security testing protocols, developer education, and OWASP guidance.
• Abstract（参考訳）: Broken Object Level Authorization(BOLA)は、APIセキュリティの最も重要な脆弱性として一貫してランク付けされているが、既存の文献はほぼ完全に概念的だ。 本論文は,BOLAの大規模実験分析として,公開バグ報奨金を報告した最初の事例である。 我々は、IDORまたはImproper Access Control(2021-2026)をタグ付けした200のHackerOne開示の再現可能なサンプリングフレームを構築し、三基準包摂フィルタを適用し、107の完全分類レポートを得た。 分類は、6科のBOLA分類に対する制約付き、人為的な基準の下で、LLM支援のスキーマ補完手順を使用していた。 107例中84例(78.5%)が鏡内BOLAと診断された。 アクションレベルオブジェクトBOLA(Action-Level Object BOLA)は、他のユーザのオブジェクトに対する許可されていない状態変更アクションによって定義され、41.7%の確認ケースをカバーし、データセットで観測された2つの支配的なファミリーの1つとしてダイレクトオブジェクト参照BOLAと共に現れる。 これは、歴史的に実践指導では表現されていないパターンを示している。 分類されたレポートの約21.5%は厳密な基準でスコープ外であり、HackerOneのようなプラットフォーム上でのタグカウントがBOLA固有の信号を大幅に上回っていることを示している。 我々は,家族,行動タイプ,認可方向,産業セクター,識別子形式,エクスプロイト機構にまたがる分布を報告する。 主要な二次的な発見は、垂直(ユーザから管理者への)特権障害の11.9%の率と、主要なプラットフォームにわたるGraphQLグローバルIDの体系的な利用である。 発見はAPIセキュリティテストプロトコル、開発者教育、OWASPガイダンスに直接影響する。

関連論文リスト

• LLM-Guided Issue Generation from Uncovered Code Segments [2.9610847900970856]
  IssueSpecterは未発見のコードセグメントのバグを見つけ、優先順位付けされた実行可能なイシューレポートを自動的に生成する。 我々は、13のアクティブメンテナンスPythonプロジェクトでIssueSpecterを評価し、10,467のイシューレポートを生成した。
  論文  参考訳（メタデータ） (2026-04-28T21:10:53Z)
• AEGIS: From Clues to Verdicts -- Graph-Guided Deep Vulnerability Reasoning via Dialectics and Meta-Auditing [9.271196825503417]
  大きな言語モデル(LLM)は、脆弱性検出にますます採用されているが、その推論は基本的には正しくない。 AEGISは、未解決の投機から、クローズドな事実ベース上の法医学的検証へ、検出をシフトする新しいマルチエージェントフレームワークである。 これは、主要なベースラインと比較して偽陽性率を最大54.40%削減し、1サンプルあたりの平均コストはタスク固有のトレーニングなしで0.09ドルである。
  論文  参考訳（メタデータ） (2026-03-21T04:12:04Z)
• When Benchmarks Lie: Evaluating Malicious Prompt Classifiers Under True Distribution Shift [0.0]
  有害なリクエスト、ジェイルブレイク、間接的なプロンプトインジェクション、抽出攻撃にまたがる18のデータセットのベンチマークを用いて、包括的な分析を行う。 我々は,真のアウト・オブ・ディストリビューションの一般化を評価するために,LODO(Leave-One-Dataset-Out)評価を提案する。
  論文  参考訳（メタデータ） (2026-02-15T14:21:43Z)
• VulAgent: Hypothesis-Validation based Multi-Agent Vulnerability Detection [55.957275374847484]
  VulAgentは仮説検証に基づくマルチエージェント脆弱性検出フレームワークである。 セマンティクスに敏感なマルチビュー検出パイプラインを実装しており、それぞれが特定の分析の観点から一致している。 平均して、VulAgentは全体的な精度を6.6%改善し、脆弱性のある固定されたコードペアの正確な識別率を最大450%向上させ、偽陽性率を約36%削減する。
  論文  参考訳（メタデータ） (2025-09-15T02:25:38Z)
• Quantifying Query Fairness Under Unawareness [82.33181164973365]
  本稿では,二項分類を超えた複数の機密属性を効果的に処理する定量化に基づく頑健な公正度推定手法を提案する。 提案手法は, 様々な属性にまたがる既存のベースラインよりも優れており, 未知の公正度を測定するための信頼性の高いプロトコルを最初に確立した。
  論文  参考訳（メタデータ） (2025-06-04T16:31:44Z)
• CBW: Towards Dataset Ownership Verification for Speaker Verification via Clustering-based Backdoor Watermarking [85.68235482145091]
  大規模音声データセットは貴重な知的財産となった。 本稿では,新しいデータセットのオーナシップ検証手法を提案する。 我々のアプローチはクラスタリングに基づくバックドア透かし(CBW)を導入している。 我々は,ベンチマークデータセットに対する広範な実験を行い,本手法の有効性とロバスト性を検証した。
  論文  参考訳（メタデータ） (2025-03-02T02:02:57Z)
• AttributionBench: How Hard is Automatic Attribution Evaluation? [19.872081697282002]
  AttributionBenchは、様々な既存の属性データセットからコンパイルされた包括的なベンチマークである。 実験の結果,微調整GPT-3.5でさえ,二項分類法で約80%のマクロF1しか達成できないことがわかった。 300以上のエラーケースの詳細な分析では、失敗の大部分は、ナンスされた情報を処理できないことに起因する。
  論文  参考訳（メタデータ） (2024-02-23T04:23:33Z)
• Structured Prediction with Partial Labelling through the Infimum Loss [85.4940853372503]
  弱い監督の目標は、収集コストの安いラベル付け形式のみを使用してモデルを学習できるようにすることである。 これは、各データポイントに対して、実際のものを含むラベルのセットとして、監督がキャストされる不完全なアノテーションの一種です。 本稿では、構造化された予測と、部分的なラベリングを扱うための無限損失の概念に基づく統一的なフレームワークを提供する。
  論文  参考訳（メタデータ） (2020-03-02T13:59:41Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。