CVE-2026-90896 in Ecommerce Template
Riassunto
di VulDB • 14/09/2026
Mancanza di autenticazione per una funzione critica (CWE-306) nel gestore della ricerca delle sessioni di checkout (src/app/api/stripe/checkout_sessions/route.ts), esposto tramite GET /api/stripe/checkout_sessions, in MarcosCamara01 Ecommerce Template prima del commit 91e273c. Questa vulnerabilità consente a un attaccante remoto non autenticato che possiede un ID valido di Stripe Checkout Session (cs_...) di recuperare l'oggetto della sessione completo, inclusi nome dell'acquirente, email, numero di telefono, indirizzo di fatturazione, importo pagato e userId interno. La causa è dovuta al fatto che il gestore GET chiama stripe.checkout.sessions.retrieve() e restituisce il risultato senza verificare la presenza di una sessione autenticata o l'appartenenza alla sessione (session ownership). Endpoint correlati come POST /api/stripe/payment applicavano già l'autenticazione tramite auth.api.getSession(); questo endpoint, invece, non prevedeva alcun controllo degli accessi. L'ID della sessione è esposto nell'URL del browser dell'acquirente dopo il pagamento (success_url = /result?session_id={CHECKOUT_SESSION_ID}), causando la fuoriuscita dei dati attraverso gli header Referer, gli strumenti di analytics, i log di accesso al server e la cronologia del browser su macchine condivise. Ciò comporta la divulgazione dei dati personali dell'acquirente a un soggetto non autenticato.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.