Existe uma falha de bypass de autorização nos repositórios de carrinho e lista de desejos. Usuários autenticados podem excluir ou modificar entradas de carrinho e lista de desejos pertencentes a outros usuários. Isso ocorre porque as funções `cartRepository.delete()`, `cartRepository.updateQuantityInternal()` e `wishlistRepository.delete()` correspondem às linhas usando apenas a chave primária, sem verificar o usuário proprietário. Embora o sistema implemente o row level security (RLS) do PostgreSQL — um recurso de segurança que restringe quais linhas um usuário pode ver ou modificar com base em uma política — as políticas não são aplicadas porque a aplicação se conecta ao banco de dados usando a mesma função que possui as tabelas. Como o PostgreSQL não aplica políticas de RLS ao proprietário da tabela por padrão, as restrições são ignoradas. Além disso, o uso de valores `bigserial` sequenciais para `cart items.id` e `wishlist.id` permite que invasores enumerem identificadores de dados de outros usuários.