CVE-2026-115453 in Ecommerce Template
요약
\~에 의해 VulDB • 2026. 10. 22.
사용자가 제어 가능한 키를 통한 권한 우회(CWE-639)는 MarcosCamara01 Ecommerce Template의 장바구니 및 위시리스트 저장소에서 발생하며, 인증된 모든 사용자가 다른 사용자의 장바구니 및 위시리스트 행을 삭제하고 수정할 수 있습니다. 이는 `src/lib/db/drizzle/repositories/` 내의 `cartRepository.delete()`, `cartRepository.updateQuantityInternal()` 및 `wishlistRepository.delete()`가 소유한 사용자에 대한 조건 없이 기본 키만으로 행을 일치시키기 때문입니다. 또한 해당 세 가지 작업에 대한 사용자별 권한 부여는 PostgreSQL의 행 수준 보안(Row Level Security, RLS)에 의존합니다. 마이그레이션은 `ALTER TABLE ... ENABLE ROW LEVEL SECURITY`를 실행하고 `app.current_user_id()`와 `user_id`를 비교하는 정책을 생성하지만, `ALTER TABLE ... FORCE ROW LEVEL SECURITY`는 실행하지 않습니다. PostgreSQL은 테이블의 소유자 역할에는 정책을 적용하지 않습니다. 이 템플릿은 마이그레이션을 실행하여 테이블을 생성할 때와 런타임 시 애플리케이션에서 모두 동일한 `DATABASE_URL`을 사용하므로, 애플리케이션이 테이블의 소유자로 연결되고 정책이 해당 연결에 적용되지 않습니다. `cart_items.id` 및 `wishlist.id`는 순차적인 bigserial 값이므로 다른 사용자 행의 식별자를 열거할 수 있으며, 수정 경로는 사용자가 속한 식별자가 포함된 수정된 행을 반환합니다. 이로 인해 설치 내 다른 계정에 속하는 장바구니 및 위시리스트 내용이 파괴되고 수정됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.