CVE-2026-90896 in Ecommerce Template
要約
〜によって VulDB • 2026年09月14日
CWE-306 (機密性の高い機能に対する認証の欠如) が、MarcosCamara01 Ecommerce Template の commit 91e273c より前のバージョンにおける checkout session lookup handler（src/app/api/stripe/checkout_sessions/route.ts）に存在します。この脆弱性は GET /api/stripe/checkout_sessions で公開されており、有効な Stripe Checkout Session ID (cs_...) を持つリモート攻撃者が認証を回避して完全なセッションオブジェクトを取得することを可能にします。これには購入者の氏名、メールアドレス、電話番号、請求先住所、支払金額、内部 userId が含まれます。これは GET ハンドラーが stripe.checkout.sessions.retrieve() を呼び出し、認証済みセッションやセッションの所有権を確認せずに結果を返すためです。POST /api/stripe/payment などの兄弟エンドポイントでは auth.api.getSession(); を介して認証が適用されていましたが、このエンドポイントにはアクセス制御が一切ありませんでした。session_id は決済後の購入者のブラウザ URL (success_url = /result?session_id={CHECKOUT_SESSION_ID}) に公開されるため、Referer ヘッダー、分析ツール、サーバーのアクセログ、共有マシンのブラウザ履歴を通じて漏洩し、認証されていない攻撃者に対して購入者の個人データが開示されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.