CVE-2026-90896

MarcosCamara01 Ecommerce Template sürümünde, commit 91e273c öncesinde, GET /api/stripe/checkout_sessions adresinde yayınlanan checkout session lookup handler (src/app/api/stripe/checkout_sessions/route.ts) bileşenindeki Kritik Fonksiyon için Kimlik Doğrulama Eksikliği (CWE-306), geçerli bir Stripe Checkout Session kimliğine (cs_...) sahip uzaktan ve kimliği doğrulanmamış bir saldırganın; alıcının adı, e-postası, telefonu, fatura adresi, ödenen tutar ve dahili userId dahil olmak üzere tüm oturum nesnesini elde etmesine olanak tanır. Bu durum, GET handler'ın kimliği doğrulanmış bir oturumu veya oturum sahipliğini kontrol etmeden stripe.checkout.sessions.retrieve() fonksiyonunu çağırmasından ve sonucu döndürmesinden kaynaklanmaktadır. POST /api/stripe/payment gibi kardeş uç noktalar auth.api.getSession() aracılığıyla zaten kimlik doğrulamayı zorunlu kılarken, bu uç noktanın hiçbir erişim kontrolü bulunmamaktaydı. session_id, ödeme sonrası alıcının kendi tarayıcı URL'sinde (success_url = /result?session_id={CHECKOUT_SESSION_ID}) açığa çıktığı için Referer başlıkları, analiz araçları, sunucu erişim günlükleri ve paylaşımlı makine tarayıcı geçmişi üzerinden sızmakta ve bu da alıcının kişisel verilerinin kimliği doğrulanmamış bir aktöre ifşa edilmesiyle sonuçlanmaktadır.