CVE-2026-90896
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Brak uwierzytelnienia dla krytycznej funkcji (CWE-306) w procedurze obsługi wyszukiwania sesji checkout (src/app/api/stripe/checkout_sessions/route.ts), udostępnionej pod adresem GET /api/stripe/checkout_sessions, w MarcosCamara01 Ecommerce Template przed commit 91e273c, pozwala zdalnemu, nieuwierzytelnionemu atakującemu posiadającemu ważny identyfikator sesji Stripe Checkout (cs_...) na pobranie pełnego obiektu sesji, w tym imienia i nazwiska kupującego, adresu e-mail, telefonu, adresu rozliczeniowego, zapłaconej kwoty i wewnętrznego identyfikatora userId, ponieważ procedura GET wywołuje stripe.checkout.sessions.retrieve() i zwraca wynik bez sprawdzania uwierzytelnionej sesji lub własności sesji. Identyfikator sesji jest ujawniany w adresie URL przeglądarki kupującego po płatności (success_url = /result?session_id={CHECKOUT_SESSION_ID}), więc wycieka przez nagłówki Referer, narzędzia analityczne, logi dostępu serwera i historię przeglądarki na współdzielonych maszynach, co prowadzi do ujawnienia danych osobowych kupującego nieuwierzytelnionemu aktorowi.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dane osobowe klientów, co może prowadzić do naruszenia prywatności i zgodności z RODO.
Rekomendacja
Zaktualizuj MarcosCamara01 Ecommerce Template do wersji po commit 91e273c, która dodaje uwierzytelnianie i sprawdzanie własności sesji.
Inne podatności w MarcosCamara01 Ecommerce Template
Zobacz wszystkie- CVE-2026-115453Wysokie
W repozytoriach koszyka i listy życzeń szablonu MarcosCamara01 Ecommerce Template występuje obejście autoryzacji przez klucz kontrolowany przez użytkownika (CWE-639). Metody cartRepository.delete(), cartRepository.updateQuantityInternal() i wishlistRepository.delete() dopasowują wiersze wyłącznie po kluczu głównym, bez warunku właściciela, a autoryzacja opiera się na zabezpieczeniach wierszy PostgreSQL. Migracje włączają RLS i tworzą polityki, ale nie stosują FORCE ROW LEVEL SECURITY, a PostgreSQL nie stosuje polityk do roli będącej właścicielem tabeli; aplikacja łączy się jako właściciel, więc polityki jej nie dotyczą. Identyfikatory są sekwencyjne, więc można je wyliczyć, co pozwala dowolnemu uwierzytelnionemu użytkownikowi usuwać i modyfikować koszyki i listy życzeń innych użytkowników.
- CVE-2026-115450Wysokie
W przepływie koszyka i zamówienia szablonu MarcosCamara01 Ecommerce Template występuje zewnętrzna kontrola parametru uznawanego za niezmienny (CWE-472). Endpoint POST /api/user/cart przyjmuje variantId (co zapisuje zamówienie) i stripeId (co obciąża Stripe) jako niezależne pola, bez sprawdzenia, czy stripeId należy do variantId. POST /api/stripe/payment buduje pozycje Stripe Checkout z zapisanego stripeId, a webhook checkout.session.completed tworzy produkty zamówienia z variantId, więc zamówienie rejestruje produkt, za który nie zapłacono. Wszystkie stripeId są publicznie czytelne, więc nie trzeba nic zgadywać.
- CVE-2026-91154Średnie
Wykryto brak uwierzytelnienia dla krytycznej funkcji (CWE-306) w produkcie cache revalidation Server Action w MarcosCamara01 Ecommerce Template przed commit ec97209. Zdalny, nieuwierzytelniony atakujący może wymusić wygaśnięcie całego cache produktów sklepu, co prowadzi do degradacji wydajności.
Oryginalny opis (angielski, źródło NVD)
Missing Authentication for Critical Function (CWE-306) in the checkout session lookup handler (src/app/api/stripe/checkout_sessions/route.ts), exposed at GET /api/stripe/checkout_sessions, in MarcosCamara01 Ecommerce Template before commit 91e273c allows a remote, unauthenticated attacker holding a valid Stripe Checkout Session id (cs_...) to retrieve the full session object, including the buyer's name, email, phone, billing address, amount paid and internal userId, because the GET handler calls stripe.checkout.sessions.retrieve() and returns the result without checking for an authenticated session or session ownership. Sibling endpoints such as POST /api/stripe/payment already enforced authentication via auth.api.getSession(); this endpoint had no access control whatsoever. The session_id is exposed in the buyer's own browser URL after payment (success_url = /result?session_id={CHECKOUT_SESSION_ID}), so it leaks through Referer headers, analytics tools, server access logs and shared-machine browser history, resulting in disclosure of the buyer's personal data to an unauthenticated actor.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS