CVE-2026-115453

MarcosCamara01 Ecommerce Template'in cart ve wishlist depolarındaki Kullanıcı Kontrollü Anahtar Aracılığıyla Yetkilendirme Atlatma (CWE-639), herhangi bir kimliği doğrulanmış kullanıcının başka herhangi bir kullanıcının sepet ve istek listesi satırlarını silmesine ve değiştirmesine olanak tanır; çünkü src/lib/db/drizzle/repositories içindeki cartRepository.delete(), cartRepository.updateQuantityInternal() ve wishlistRepository.delete() fonksiyonları, sahip olan kullanıcıya dair herhangi bir koşul olmaksızın satırları yalnızca birincil anahtara göre eşleştirmektedir ve bu üç işlem için kullanıcı başına yetkilendirme PostgreSQL satır düzeyinde güvenliğe (row level security) dayanmaktadır. Migrasyonlar ALTER TABLE ... ENABLE ROW LEVEL SECURITY komutunu çalıştırır ve app.current_user_id() ile user_id değerlerini karşılaştıran politikalar oluşturur, ancak hiçbir zaman ALTER TABLE ... FORCE ROW LEVEL SECURITY komutunu çalıştırmaz ve PostgreSQL, tabloya sahip olan role politikaları uygulamaz. Şablon, hem tabloları oluşturan migrasyonları çalıştırmak hem de uygulama çalışma zamanında kullanılmak üzere tek bir DATABASE_URL kullanır; bu nedenle uygulama tablolara sahibi olarak bağlanır ve politikalar uygulamaya uygulanmaz. cart_items.id ve wishlist.id sıralı bigserial değerleridir, dolayısıyla diğer kullanıcılara ait satırların tanımlayıcıları numaralandırılarak bulunabilir ve güncelleme yolu, ait olduğu kullanıcının tanımlayıcısını taşıyan değiştirilmiş satırı döndürür. Bu durum, kurulumdaki diğer hesaplara ait sepet ve istek listesi içeriklerinin yok edilmesiyle ve değiştirilmesiyle sonuçlanır.