BFLA sta per Broken Function Level Authorization. Si verifica quando un'applicazione consente a un utente di chiamare una funzione, un endpoint o un'azione che dovrebbe essere riservata a un ruolo o a un'identità diversa. Il controllo può esistere per l'accesso, ma non per l'operazione specifica, quindi un utente con privilegi bassi può attivare comportamenti riservati agli amministratori, come eliminare record, modificare autorizzazioni o raggiungere azioni interne tramite un'API.
BFLA è importante perché trasforma richieste ordinarie in un'escalation dei privilegi. Gli attaccanti cercano spesso endpoint nascosti o non documentati, quindi ripetono le richieste con un account normale per verificare se il server applica l'autorizzazione a ogni funzione. I difensori testano il BFLA confrontando le risposte tra ruoli diversi, verificando il controllo degli accessi lato server su ogni azione e mappando gli endpoint alle autorizzazioni di business invece che solo allo stato di autenticazione. Si tratta di una comune falla di sicurezza delle API perché l'interfaccia può sembrare valida mentre la logica di autorizzazione è incompleta.