Mass Assignment

El framework mapea automáticamente el JSON entrante a campos del modelo en BD.

​

Mass Assignment

El framework mapea automáticamente el JSON entrante a campos del modelo en BD.

Categoría: Web · OWASP Top 10

🎯 Trinchera — El framework mapea automáticamente el JSON entrante a campos del modelo en BD. Si el desarrollador no declara qué campos son fillable, le pasas {"role": "admin"} y te escala privilegios.

🔗 Kill chain — Requisito: endpoint de creación o actualización. Movimiento siguiente: escalada vertical (is_admin, role, tenant_id), evasión de validaciones de negocio.

📡 Huella defensiva — Cambios de campo no expuestos en el formulario UI. Difícil de detectar a posteriori si no hay auditoría por columna.

⚠️ Falso amigo — Asumir que sólo afecta a Rails. Laravel, Django, Spring Boot, Express con Mongoose — todos tienen el mismo patrón si los usas mal.

🛡️ Remediación — Whitelist explícito de campos.

// VULNERABLE
$user->update($request->all());

// SEGURO
$user->update($request->only(['name', 'email']));
// o en el modelo:
protected $fillable = ['name', 'email'];

---

← Volver al glosario completo

Última actualización: 2026-06-11