У нас есть reactjs приложение, в котором токен jwt, orgid, информация о пользователе, такая как имя, роль хранится в браузере localStorage. Токен JWT достаточно длинный, который содержит только информацию об организации. При тестировании ниже сценарий может видеть атаку привилегий доступа. Пожалуйста, укажите, если это правильный сценарий.
Сценарий:
Chrome: войти в систему как администратор (все меню)> F12> localstorage> токен jwt, orgid, имя отображаемые значения ролей
Firefox: войти в систему как клиент (можно получить только одно меню)> F12> localstorage> маркер jwt, orgid, имя, отображаемые значения роли
При входе пользователя в систему / в браузере firefox, где пользователь вошел в систему> измените orgid, имя, значение роли на Admin путем копирования из Chrome сеанса входа администратора. Не изменен токен jwt.
Теперь можно получить все меню.
Должно ли оно рассматриваться как уязвимость повышения привилегий на уровне доступа.
Пожалуйста, предложите.