Mass assignment
Në shqip: Caktimi masiv
ShpjegimiSQ
Nëse API-ja kopjon të gjitha fushat e JSON-it direkt në databazë, sulmuesi mund të shtojë "roli": "admin" dhe të bëhet administrator. Prano vetëm fushat e lejuara (DTO, $fillable, Pick).
EnglishEN
If an API copies every JSON field straight into the database, an attacker can add "role": "admin" and become an administrator. Accept only allowed fields (DTOs, $fillable, Pick).
Si ta mendosh
Si një formular ku dikush shton vetë një rresht „pagesa: 0 €“.
Lexoje në anglisht
Like a form where someone adds their own line “amount due: €0”.
Shembull kodijavascript
// ✗ db.users.update(id, req.body)
const { emri, email } = req.body;
db.users.update(id, { emri, email }); // ✓