Меняешь id в адресе, оставляешь ту же сессию — и API отдаёт чужой аккаунт. IDOR прост в эксплуатации и разрушителен по последствиям.
IDOR — это когда приложение доверяет идентификатору, но не проверяет, кто спрашивает. Меняешь /statement/12345 на /statement/12346, и если сервер проверяет только факт входа, а не принадлежность 12346 тебе, — получаешь чужую выписку, карту или скан паспорта.
Это самая частая ошибка контроля доступа, потому что переживает фреймворки: маршрут есть, middleware авторизации срабатывает, не хватает только проверки на уровне объекта.
Один IDOR на выписках — это утечка данных. Тот же паттерн на сбросе пароля или смене почты — полный захват: прочитал токен или поменял контакт — аккаунт твой. Исправление одно, а последствия разные.
IDOR — это одна конкретная и частая его форма: идентификатору доверяют, а проверку владения пропустили.
Да — проверяем на реальных или изолированных аккаунтах, чтобы показать, что именно один пользователь видит у другого.