CVE-2026-90896 in Ecommerce Template
Résumé
par VulDB • 15/09/2026
Absence d'authentification pour une fonction critique (CWE-306) dans le gestionnaire de recherche des sessions de paiement (src/app/api/stripe/checkout_sessions/route.ts), exposé via GET /api/stripe/checkout_sessions, dans MarcosCamara01 Ecommerce Template avant le commit 91e273c permet à un attaquant distant et non authentifié disposant d'un identifiant valide de session Stripe Checkout (cs_...) de récupérer l'objet complet de la session, y compris le nom, l'e-mail, le numéro de téléphone, l'adresse de facturation, le montant payé et l'identifiant utilisateur interne de l'acheteur. Cela est dû au fait que le gestionnaire GET appelle stripe.checkout.sessions.retrieve() et renvoie le résultat sans vérifier la présence d'une session authentifiée ni l'appartenance à cette session. Les points de terminaison frères tels que POST /api/stripe/payment appliquaient déjà une authentification via auth.api.getSession(); ce point de terminaison ne disposait d'aucun contrôle d'accès. L'identifiant de session (session_id) est exposé dans l'URL du navigateur de l'acheteur après le paiement (success_url = /result?session_id={CHECKOUT_SESSION_ID}), ce qui entraîne une fuite via les en-têtes Referer, les outils d'analytics, les journaux d'accès au serveur et l'historique des navigateurs sur les machines partagées, résultant en la divulgation des données personnelles de l'acheteur à un acteur non authentifié.
If you want to get best quality of vulnerability data, you may have to visit VulDB.