Business Logic Vulnerability (vulnerabilità della logica di business)

Le business logic vulnerability sono tra i bug più preziosi nella sicurezza, perché non possono essere trovati dai soli strumenti. Vivono nello spazio tra ciò che gli sviluppatori hanno dato per scontato che gli utenti avrebbero fatto e ciò che gli utenti possono effettivamente fare. La richiesta sembra normale, il server la accetta e la regola di business si rompe in silenzio.

Perché è importante

La maggior parte dei test di sicurezza automatici va a caccia di input malformati: un payload di injection, un tag script, una sequenza di path traversal. I difetti di logica di business non hanno nulla di tutto questo. Ogni richiesta è ben formata e valida; la vulnerabilità sta nella sequenza, nel contesto o nell'assunzione di fiducia che la accompagna. È esattamente per questo che sfuggono agli scanner ed è per questo che sono costantemente tra le segnalazioni più pagate nel bug bounty e nel test di sicurezza delle API.

Per chi inizia, questa è una buona notizia. I difetti di logica premiano la comprensione più dell'abilità di exploitation. Se riesci a cogliere come un'applicazione dovrebbe funzionare, spesso puoi trovare il punto in cui le sue regole possono essere violate, senza bisogno di payload avanzati.

Un esempio classico

Una API di checkout invia il prezzo dell'articolo dal client:

{
"item": "laptop",
"quantity": 1,
"price": 500
}

Un hunter cambia price in 2 e rinvia la richiesta. Il server la accetta, perché lo sviluppatore ha dato per scontato che il prezzo arrivasse sempre dal frontend fidato. Nessuna injection, nessun payload speciale, solo un difetto di logica dall'impatto critico. Questo è esattamente il tipo di bug che chi inizia può trovare quando comprende l'applicazione invece di combattere con uno stack tecnologico sconosciuto.

Tipi comuni

Perché gli scanner non li rilevano

Uno scanner può rilevare un header di sicurezza mancante, ma non può conoscere le tue regole di business. Solo una persona che comprende il workflow può vedere che un flusso di invito permette di entrare nell'organizzazione di qualcun altro, o che un coupon può essere applicato all'infinito.

Poiché ogni richiesta è individualmente legittima, non c'è alcun payload malformato che uno strumento possa segnalare. Il difetto diventa visibile solo quando una persona ragiona sull'intento.

Come trovarli

Mappa ogni workflow, poi attacca le assunzioni che lo sostengono: modifica i valori che il client non dovrebbe controllare, invia i passaggi fuori ordine, ripeti le azioni concepite per avvenire una sola volta e usa due account per testare il comportamento tra utenti.

Le business logic vulnerability sono il terreno in cui il ragionamento umano batte ancora in modo decisivo l'automazione, ed è proprio per questo che rimangono così preziose, e così accessibili a chi inizia, nel 2026.