CVE-2026-90896

MarcosCamara01 Ecommerce Template-nin 91e273c commit-indən əvvəlki versiyalarında, GET /api/stripe/checkout_sessions ünvanında mövcud olan checkout sessiyasının axtarış handler-ində (src/app/api/stripe/checkout_sessions/route.ts) Kritik Funksiya üçün Autentifikasiyanın Olmaması (CWE-306) zəifliyi aşkar edilmişdir. Bu, etibarlı Stripe Checkout Session id-sinə (cs_...) sahib olan uzaqdakı və autentifikasiya olunmamış hücumçunun alıcının adı, e-poçtu, telefonu, ödəniş ünvanı, ödənilmiş məbləğ və daxili userId daxil olmaqla tam sessiya obyektini əldə etməsinə şərait yaradır; çünki GET handler-i autentifikasiya olunmuş sessiyanı və ya sessiya mülkiyyətini yoxlamadan stripe.checkout.sessions.retrieve() funksiyasını çağırır və nəticəni qaytarır. POST /api/stripe/payment kimi paralel son nöqtələrdə auth.api.getSession() vasitəsilə artıq autentifikasiya tətbiq edilmişdi, lakin bu son nöqtədə heç bir giriş kontrolu mövcud deyildi. Ödənişdən sonra session_id alıcının brauzer URL-də görünür (success_url = /result?session_id={CHECKOUT_SESSION_ID}), buna görə də o, Referer başlıqları, analitika alətləri, server giriş loqları və ortaq maşın brauzer tarixçəsi vasitəsilə sızır ki, bu da alıcının şəxsi məlumatlarının autentifikasiya olunmamış şəxsə açıqlanması ilə nəticələnir.