Il bypass della validazione è una debolezza in cui un'applicazione non controlla correttamente l'input, i dati della richiesta o lo stato dell'utente prima di agire su di essi. I controlli possono essere assenti, applicati al campo sbagliato, imposti solo su un percorso di codice o saltati dopo un reindirizzamento interno o una funzione wrapper. Nei sistemi sensibili alla sicurezza, la validazione è la prima linea di difesa che impedisce a richieste malformate, metodi non sicuri e azioni non autorizzate di raggiungere la logica privilegiata.
Questo è importante perché gli aggressori spesso cercano percorsi che accettano una richiesta al confine ma dimenticano di ricontrollarla più in profondità nello stack. Nelle API web, ciò può significare che un gestore batch, un proxy o una sotto-richiesta interna eredita la fiducia della richiesta esterna ed esegue azioni che non dovrebbe. I difensori riducono questo rischio validando in modo indipendente ogni punto di ingresso, applicando l'autorizzazione a ogni sotto-richiesta, rifiutando parametri malformati o inattesi e fallendo in modo chiuso quando i controlli sono incompleti. Un bypass della validazione può trasformare un semplice bug di input in abuso dell'account, manomissione della configurazione o esecuzione di codice remoto.