La confusione nel routing è un difetto logico nel modo in cui un'applicazione interpreta i percorsi delle richieste o seleziona gli endpoint. Una richiesta può essere normalizzata, associata a una route o inoltrata in modo diverso da quanto previsto dagli sviluppatori, raggiungendo potenzialmente un gestore senza i controlli di autenticazione o autorizzazione previsti. Nelle API, ciò può accadere quando le regole di routing e i controlli di sicurezza non concordano sulla route a cui è destinata una richiesta.
Gli aggressori possono sfruttare la confusione nel routing per accedere a funzionalità che dovrebbero essere soggette a restrizioni o combinarla con un'altra vulnerabilità, come l'iniezione SQL, per aumentarne l'impatto. Il difetto non significa automaticamente che un sistema sia stato compromesso; il rischio dipende dalle route interessate e dalle relative protezioni. I difensori dovrebbero applicare le correzioni del fornitore, verificare insieme la corrispondenza delle route e l'autorizzazione, convalidare i parametri delle richieste e assicurarsi che ogni endpoint sensibile applichi controlli espliciti delle autorizzazioni.