Un percorso non autenticato è un URL, una route API o un flusso di lavoro dell’applicazione a cui una persona può accedere senza effettuare l’accesso o fornire credenziali. Può essere intenzionalmente pubblico, come una pagina per visualizzare contenuti pubblicati, oppure può esporre funzionalità che avrebbero dovuto essere disponibili solo agli utenti fidati.
Nella cybersicurezza, un percorso esposto può consentire a un aggressore di interagire con codice vulnerabile senza prima ottenere un account, abbassando la barriera d’ingresso per un attacco. In ambienti reali, le route possono diventare accessibili tramite estensioni, scelte di configurazione o codice personalizzato, anche quando l’applicazione di base non le espone direttamente. I difensori dovrebbero censire le route accessibili dall’esterno, verificare che le azioni sensibili impongano l’autorizzazione e applicare le patch pertinenti o misure temporanee di mitigazione. Una route accessibile senza effettuare l’accesso indica una potenziale esposizione, non dimostra che sia avvenuto un attacco.