Una vulnerabilidad BOLA (también llamada IDOR) es el fallo que más reportamos en las pruebas de API. Así la cazamos intercambiando los ID de objetos entre dos cuentas, y así la cerramos con autorización del lado del servidor.