CVE-2026-90896 in Ecommerce Template
Сводка
по VulDB • 14.09.2026
Mancanza di autenticazione per una funzione critica (CWE-306) nel gestore della ricerca delle sessioni di checkout (`src/app/api/stripe/checkout_sessions/route.ts`), esposto tramite `GET /api/stripe/checkout_sessions`, in MarcosCamara01 Ecommerce Template prima del commit 91e273c, consente a un attaccante remoto non autenticato che possiede un ID valido di Stripe Checkout Session (cs_...) di recuperare l'oggetto della sessione completo, inclusi nome dell'acquirente, email, numero di telefono, indirizzo di fatturazione, importo pagato e userId interno. Ciò avviene perché il gestore GET chiama `stripe.checkout.sessions.retrieve()` e restituisce il risultato senza verificare la presenza di una sessione autenticata o l'appartenenza alla sessione. Endpoint correlati come `POST /api/stripe/payment` applicavano già l'autenticazione tramite `auth.api.getSession();`, mentre questo endpoint non prevedeva alcun controllo degli accessi. L'ID della sessione è esposto nell'URL del browser dell'acquirente dopo il pagamento (`success_url = /result?session_id={CHECKOUT_SESSION_ID}`), quindi viene trapelato attraverso gli header Referer, strumenti di analisi, log di accesso al server e la cronologia dei browser su macchine condivise, causando la divulgazione dei dati personali dell'acquirente a un soggetto non autenticato.
If you want to get best quality of vulnerability data, you may have to visit VulDB.