CVE-2026-91154
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Wykryto brak uwierzytelnienia dla krytycznej funkcji (CWE-306) w produkcie cache revalidation Server Action w MarcosCamara01 Ecommerce Template przed commit ec97209. Zdalny, nieuwierzytelniony atakujący może wymusić wygaśnięcie całego cache produktów sklepu, co prowadzi do degradacji wydajności.
Ocena ryzyka
Atakujący może trwale uniemożliwić korzystanie z cache, zmuszając każdego odwiedzającego do odczytu pełnego katalogu produktów z bazy danych, co może prowadzić do niedostępności sklepu przy niskim koszcie ataku.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie szablonu do wersji po commicie ec97209 oraz wdrożenie uwierzytelnienia dla wszystkich Server Actions, zwłaszcza tych modyfikujących cache.
Inne podatności w MarcosCamara01 Ecommerce Template
Zobacz wszystkie- CVE-2026-115453Wysokie
W repozytoriach koszyka i listy życzeń szablonu MarcosCamara01 Ecommerce Template występuje obejście autoryzacji przez klucz kontrolowany przez użytkownika (CWE-639). Metody cartRepository.delete(), cartRepository.updateQuantityInternal() i wishlistRepository.delete() dopasowują wiersze wyłącznie po kluczu głównym, bez warunku właściciela, a autoryzacja opiera się na zabezpieczeniach wierszy PostgreSQL. Migracje włączają RLS i tworzą polityki, ale nie stosują FORCE ROW LEVEL SECURITY, a PostgreSQL nie stosuje polityk do roli będącej właścicielem tabeli; aplikacja łączy się jako właściciel, więc polityki jej nie dotyczą. Identyfikatory są sekwencyjne, więc można je wyliczyć, co pozwala dowolnemu uwierzytelnionemu użytkownikowi usuwać i modyfikować koszyki i listy życzeń innych użytkowników.
- CVE-2026-115450Wysokie
W przepływie koszyka i zamówienia szablonu MarcosCamara01 Ecommerce Template występuje zewnętrzna kontrola parametru uznawanego za niezmienny (CWE-472). Endpoint POST /api/user/cart przyjmuje variantId (co zapisuje zamówienie) i stripeId (co obciąża Stripe) jako niezależne pola, bez sprawdzenia, czy stripeId należy do variantId. POST /api/stripe/payment buduje pozycje Stripe Checkout z zapisanego stripeId, a webhook checkout.session.completed tworzy produkty zamówienia z variantId, więc zamówienie rejestruje produkt, za który nie zapłacono. Wszystkie stripeId są publicznie czytelne, więc nie trzeba nic zgadywać.
- CVE-2026-90896Wysokie
Brak uwierzytelnienia dla krytycznej funkcji (CWE-306) w procedurze obsługi wyszukiwania sesji checkout (src/app/api/stripe/checkout_sessions/route.ts), udostępnionej pod adresem GET /api/stripe/checkout_sessions, w MarcosCamara01 Ecommerce Template przed commit 91e273c, pozwala zdalnemu, nieuwierzytelnionemu atakującemu posiadającemu ważny identyfikator sesji Stripe Checkout (cs_...) na pobranie pełnego obiektu sesji, w tym imienia i nazwiska kupującego, adresu e-mail, telefonu, adresu rozliczeniowego, zapłaconej kwoty i wewnętrznego identyfikatora userId, ponieważ procedura GET wywołuje stripe.checkout.sessions.retrieve() i zwraca wynik bez sprawdzania uwierzytelnionej sesji lub własności sesji. Identyfikator sesji jest ujawniany w adresie URL przeglądarki kupującego po płatności (success_url = /result?session_id={CHECKOUT_SESSION_ID}), więc wycieka przez nagłówki Referer, narzędzia analityczne, logi dostępu serwera i historię przeglądarki na współdzielonych maszynach, co prowadzi do ujawnienia danych osobowych kupującego nieuwierzytelnionemu aktorowi.
Oryginalny opis (angielski, źródło NVD)
Missing Authentication for Critical Function (CWE-306) in the product cache revalidation Server Action (src/app/actions.ts, revalidateProducts) in MarcosCamara01 Ecommerce Template before commit ec97209 allows a remote, unauthenticated attacker to force expiration of the entire storefront product cache at will. The file declares "use server" at file scope, so every exported function compiles into a POST-invokable Server Action; revalidateProducts calls updateTag("products") with no session or role check, unlike the read-only actions in the same file which are safe by construction. Two client components under src/components/admin import the function, which causes its Server Action id to be compiled into a public /_next/static chunk that the application's admin middleware (proxy.ts) does not gate, so any unauthenticated user can extract that id from the public bundle and invoke the action directly. With cacheComponents enabled, the entire storefront (home, categories, product pages, search) is served from "use cache" entries produced by getAllProducts, getCategoryProducts and getProduct, all tagged products with an hours-long cacheLife. Repeated unauthenticated invocation of revalidateProducts keeps that cache permanently cold, forcing every visitor's request to read the full product catalog from Postgres instead of serving from cache, degrading storefront availability at near-zero attacker cost.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS