Lo stato del server è il dato che risiede sul lato remoto di un'applicazione, come risposte API, record utente, dati collegati alla sessione o flag delle funzionalità. In strumenti come TanStack Query, questo stato viene spesso recuperato dal server, memorizzato nella cache sul client e aggiornato quando potrebbe essere cambiato.
È importante per la sicurezza perché lo stato del server è di solito condiviso, autorevole e sensibile al contesto. Se una cache è limitata in modo troppo ampio, un utente può vedere i dati di un altro utente. Se la logica di aggiornamento è debole, un'applicazione può fare affidamento su autorizzazioni obsolete o record non aggiornati. Nel rendering lato server, un isolamento insufficiente delle richieste può anche causare fughe tra richieste quando i dati memorizzati nella cache vengono riutilizzati tra utenti.
I difensori proteggono lo stato del server con chiavi di cache per singolo utente, invalidazione rigorosa, segreti a breve durata e confini chiari tra richieste, sessioni e ambienti. In pratica, il rischio principale non è il dato in sé, ma il modo in cui viene recuperato, archiviato e riutilizzato.