Podatności MarcosCamara01 Ecommerce Template

W repozytoriach koszyka i listy życzeń szablonu MarcosCamara01 Ecommerce Template występuje obejście autoryzacji przez klucz kontrolowany przez użytkownika (CWE-639). Metody cartRepository.delete(), cartRepository.updateQuantityInternal() i wishlistRepository.delete() dopasowują wiersze wyłącznie po kluczu głównym, bez warunku właściciela, a autoryzacja opiera się na zabezpieczeniach wierszy PostgreSQL. Migracje włączają RLS i tworzą polityki, ale nie stosują FORCE ROW LEVEL SECURITY, a PostgreSQL nie stosuje polityk do roli będącej właścicielem tabeli; aplikacja łączy się jako właściciel, więc polityki jej nie dotyczą. Identyfikatory są sekwencyjne, więc można je wyliczyć, co pozwala dowolnemu uwierzytelnionemu użytkownikowi usuwać i modyfikować koszyki i listy życzeń innych użytkowników.

W przepływie koszyka i zamówienia szablonu MarcosCamara01 Ecommerce Template występuje zewnętrzna kontrola parametru uznawanego za niezmienny (CWE-472). Endpoint POST /api/user/cart przyjmuje variantId (co zapisuje zamówienie) i stripeId (co obciąża Stripe) jako niezależne pola, bez sprawdzenia, czy stripeId należy do variantId. POST /api/stripe/payment buduje pozycje Stripe Checkout z zapisanego stripeId, a webhook checkout.session.completed tworzy produkty zamówienia z variantId, więc zamówienie rejestruje produkt, za który nie zapłacono. Wszystkie stripeId są publicznie czytelne, więc nie trzeba nic zgadywać.

Wykryto brak uwierzytelnienia dla krytycznej funkcji (CWE-306) w produkcie cache revalidation Server Action w MarcosCamara01 Ecommerce Template przed commit ec97209. Zdalny, nieuwierzytelniony atakujący może wymusić wygaśnięcie całego cache produktów sklepu, co prowadzi do degradacji wydajności.

Brak uwierzytelnienia dla krytycznej funkcji (CWE-306) w procedurze obsługi wyszukiwania sesji checkout (src/app/api/stripe/checkout_sessions/route.ts), udostępnionej pod adresem GET /api/stripe/checkout_sessions, w MarcosCamara01 Ecommerce Template przed commit 91e273c, pozwala zdalnemu, nieuwierzytelnionemu atakującemu posiadającemu ważny identyfikator sesji Stripe Checkout (cs_...) na pobranie pełnego obiektu sesji, w tym imienia i nazwiska kupującego, adresu e-mail, telefonu, adresu rozliczeniowego, zapłaconej kwoty i wewnętrznego identyfikatora userId, ponieważ procedura GET wywołuje stripe.checkout.sessions.retrieve() i zwraca wynik bez sprawdzania uwierzytelnionej sesji lub własności sesji. Identyfikator sesji jest ujawniany w adresie URL przeglądarki kupującego po płatności (success_url = /result?session_id={CHECKOUT_SESSION_ID}), więc wycieka przez nagłówki Referer, narzędzia analityczne, logi dostępu serwera i historię przeglądarki na współdzielonych maszynach, co prowadzi do ujawnienia danych osobowych kupującego nieuwierzytelnionemu aktorowi.