ثغرة تحدث عندما يستخدم التطبيق مدخلات المستخدم للوصول للكائنات مباشرة (مثل ID في الرابط).
إذا غيرت user_id=100 إلى 101 ورأيت بيانات شخص آخر، فهذه IDOR.