#nuxt

Nuxt3 로 만든 할 일 관리 앱. 상태 변경(updateTodo)과 공유(shareTodo) API 에 소유권 검증이 빠져 있다. 남의 완료된 todo 를 완료 해제하고 내 계정으로 공유하면, 목록 조회에 admin 의 플래그가 그대로 딸려 나온다. 전형적인 IDOR·접근제어 우회 체인을 로컬 도커로 검증하고 라이브에서 재현했다.