Marcoscamara01

توجد مشكلة في تدفق عربة التسوق وإتمام الدفع تسمح للمستخدم المصادق عليه بدفع قيمة منتج واحد بينما يطلب منتجًا آخر. يقبل endpoint 'POST /api/user/cart' المتغيرين `variantId` و `stripeId` كحقول مستقلة في جسم الطلب دون التحقق مما إذا كان `stripeId` ينتمي إلى `variantId` المحدد. لاحقًا، يستخدم endpoint 'POST /api/stripe/payment' قيمة `stripeId` المخزنة لتحديد مبلغ الرسوم. وأخيرًا، يقوم webhook checkout.session.completed بإنشاء الطلب بناءً على `variantId` ، مما يؤدي إلى طلب سلع باهظة الثمن بسعر أرخص صنف في الكتالوج.

يوجد تجاوز للصلاحيات في مستودعات عربة التسوق وقائمة الأمنيات. يمكن للمستخدمين المصرح لهم حذف أو تعديل إدخالات عربة التسوق وقائمة الأمنيات الخاصة بمستخدمين آخرين. يحدث هذا لأن الدوال `cartRepository.delete()` و `cartRepository.updateQuantityInternal()` و `wishlistRepository.delete()` تطابق الصفوف باستخدام المفتاح الأساسي فقط دون التحقق من المستخدم المالك. على الرغم من أن النظام يطبق ميزة row level security (RLS) في PostgreSQL — وهي ميزة أمنية تقيد الصفوف التي يمكن للمستخدم رؤيتها أو تعديلها بناءً على سياسة معينة — إلا أن هذه السياسات لا يتم تطبيقها لأن التطبيق يتصل بقاعدة البيانات باستخدام نفس الدور الذي يملك الجداول. وبما أن PostgreSQL لا يطبق سياسات RLS على مالك الجدول افتراضيًا، يتم تجاوز القيود. بالإضافة إلى ذلك، فإن استخدام قيم `bigserial` التسلسلية لـ `cart items.id` و `wishlist.id` يسمح للمهاجمين بتعداد معرفات بيانات المستخدمين الآخرين.