CVE-2026-91154

Nome do Software Vulnerável e Versões Afetadas MarcosCamara01 Ecommerce Template versões anteriores ao commit ec97209

Description A ausência de autenticação na Server Action de revalidação de cache de produtos permite que um invasor remoto não autenticado force a expiração de todo o cache de produtos da loja. A função revalidateProducts() em src/app/actions.ts chama updateTag("products") sem realizar verificações de sessão ou função. Como o arquivo utiliza a diretiva "use server", a função é compilada em uma Server Action invocável via POST. O ID da ação é exposto em um chunk público / next/static, que não é protegido pelo middleware de administração em proxy.ts. Quando o cacheComponents está habilitado, a loja depende de entradas em cache de getAllProducts(), getCategoryProducts() e getProduct(). A invocação repetida da ação vulnerável mantém o cache frio, forçando a aplicação a ler todo o catálogo de produtos do banco de dados Postgres para cada requisição, o que degrada a disponibilidade da loja.

Recommendations Atualize o MarcosCamara01 Ecommerce Template para o commit ec97209 ou posterior. Como medida paliativa temporária, restrinja o acesso à função revalidateProducts() implementando uma verificação de sessão ou função dentro de src/app/actions.ts.