- Yama var
- Son 7 gün
- CWE-472
CVE-2026-115450
MarcosCamara01 Ecommerce Template ödeme akışında istemci tarafından sağlanan Stripe fiyat kimliği ile fiyat manipülasyonu
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- Secur0
ÖzetTürkçe
MarcosCamara01 Ecommerce Template uygulamasının sepet ve ödeme akışında, varsayılan olarak değiştirilemez kabul edilen bir web parametresinin dış kontrolü (CWE-472) nedeniyle, kimlik doğrulaması yapılmış ve özel yetkisi bulunmayan bir kullanıcı, bir ürün için başka bir ürünün fiyatını ödeyerek sipariş verebilmektedir. Nedeni, POST /api/user/cart uç noktasının istek gövdesinde iki bağımsız alan olarak kabul ettiği variantId ve stripeId değerleridir. variantId siparişte kaydedilecek ürünü, stripeId ise Stripe tarafından tahsil edilecek tutarı belirler. Uç nokta bu iki değeri sepet kaydında saklamakta ve stripeId'nin variantId'ye ait olup olmadığını doğrulamamaktadır. POST /api/stripe/payment uç noktası, Stripe Checkout satır öğelerini saklanan değerden { price: item.stripeId, quantity } biçiminde oluşturduğu için tahsil edilen tutar, bu Stripe fiyatının tutarı olmaktadır. Ardından checkout.session.completed webhook'u, sipariş ürünlerini aynı sepet kaydındaki variantId'den oluşturduğu için sipariş, ödenmemiş bir ürünü kaydetmektedir. Kataloğdaki tüm stripeId değerleri her ziyaretçi tarafından okunabildiğinden, bir değerin tahmin edilmesi gerekmemektedir. Sonuç olarak, katalogdaki en ucuz ürünün fiyatına sınırsız tekrarlanabilen mal siparişleri oluşmakta ve sipariş kayıtlarındaki tutarlar listelenen ürünlerle eşleşmemektedir.
Kaynaktaki açıklama (İngilizce)
External Control of Assumed-Immutable Web Parameter (CWE-472) in the cart and checkout flow of MarcosCamara01 Ecommerce Template allows an authenticated user with no special privileges to be charged the price of one product while placing an order for another, because POST /api/user/cart accepts variantId, which determines what the order records, and stripeId, which determines what Stripe charges, as two independent fields of the request body, stores both on the cart row, and no check requires the stripeId to be the one that belongs to the variantId. POST /api/stripe/payment builds the Stripe Checkout line items from the stored value, as { price: item.stripeId, quantity }, so the amount charged is the amount of that Stripe price. The checkout.session.completed webhook then creates the order products from the variantId of the same cart row, so the order records a product that was not paid for. Every stripeId in the catalogue is readable by any visitor, so no value has to be guessed. This results in orders for goods at the price of the cheapest item in the catalogue, repeatable without limit, and in order records whose amount does not correspond to the product they list.
Üreticinin çözüm notu (İngilizce)
Update to a revision of the repository that includes commit e6b364cd668f2ba875cfa7f6d55c63e771715df7 of 31 July 2026. The repository publishes no versioned releases and carries no git tags, so the fix can only be identified by commit.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MarcosCamara01 Ecommerce Template | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.