IDOR مخفف Insecure Direct Object Reference و نوعی نقص کنترل دسترسی است. برنامه شناسه منبعی مانند سفارش یا فایل را از درخواست می‌گیرد اما بررسی نمی‌کند کاربر مجاز به دسترسی به همان منبع است یا نه.
نحوه استفاده در عمل
اگر کاربر با تغییر /orders/100 به /orders/101 بتواند سفارش فرد دیگری را ببیند، مشکل IDOR وجود دارد.
مخفی کردن شناسه یا استفاده از UUID به‌تنهایی کافی نیست. مجوزدهی باید برای هر منبع در سمت سرور بررسی شود.
در همین واژه‌نامه، تزریق اس‌کیو‌ال و اسکریپت‌نویسی بین‌سایتی از مفاهیم مرتبط هستند.
نمونه IDOR
اگر کاربر واردشده با تغییر /orders/41 به /orders/42 سفارش شخص دیگری را ببیند، کنترل سطح آبجکت ناقص است. پنهان کردن شناسه یا جایگزینی UUID به‌تنهایی راه‌حل نیست. مجوز هر درخواست باید سمت سرور بررسی شود.