CVE-2026-91154

MarcosCamara01 Ecommerce Template-nin ec97209 commit-indən əvvəlki versiyalarında məhsul keşinin yenilənməsi üçün nəzərdə tutulmuş Server Action (src/app/actions.ts, revalidateProducts) funksiyasında Kritik Funksiya üçün Autentifikasiyanın Olmaması (CWE-306) boşluğu mövcuddur. Bu, uzaqdakı autentifikasiya olunmamış hücumçuya bütün mağaza məhsul keşini istədiyi vaxt məcburi şəkildə etibarsız etməyə imkan verir. Fayl səviyyəsində "use server" bəyan edildiyi üçün ixrac olunan hər bir funksiya POST sorğusu ilə çağırıla bilən Server Action-a çevrilir; eyni fayldakı təhlükəsiz oxuma əməliyyatlarının əksinə olaraq, revalidateProducts funksiyası heç bir sessiya və ya rol yoxlaması aparmadan updateTag("products") funksiyasını çağırır. src/components/admin altındakı iki klient komponenti bu funksiyanı idxal etdiyi üçün onun Server Action ID-si tətbiqin admin middleware-i (proxy.ts) tərəfindən məhdudlaşdırılmayan açıq /_next/static blokuna daxil edilir; beləliklə, hər hansı autentifikasiya olunmamış istifadəçi həmin ID-ni açıq paketdən çıxarıb funksiyanı birbaşa çağıra bilər. cacheComponents aktiv olduqda, bütün mağaza (ana səhifə, kateqoriyalar, məhsul səhifələri, axtarış) getAllProducts, getCategoryProducts və getProduct funksiyaları tərəfindən yaradılan və saatlarla cacheLife müddətinə malik olan "products" teqli "use cache" yazıları vasitəsilə təmin edilir. revalidateProducts funksiyasının mütəmadi olaraq autentifikasiyasız çağırılması həmin keşi daimi olaraq soyuq saxlayır və hər bir ziyarətçinin sorğusunun keşdən deyil, birbaşa Postgres bazasından tam məhsul kataloqunu oxumasını tələb edir ki, bu da hücumçu üçün minimum xərclə mağazanın əlçatanlığının pisləşməsinə səbəb olur.