CVE-2026-115453

Pominięcie autoryzacji poprzez klucz kontrolowany przez użytkownika (CWE-639) w repozytoriach koszyka i list życzeń szablonu e-commerce MarcosCamara01 umożliwia każdemu uwierzytelnionemu użytkownikowi usuwanie i modyfikowanie wierszy koszyka i listy życzeń dowolnego innego użytkownika, ponieważ cartRepository.delete(), CartRepository.updateQuantityInternal() i życzeńlistRepository.delete() w src/lib/db/drizzle/repositories/ dopasowuje wiersze wyłącznie według klucza podstawowego, bez predykatu dotyczącego użytkownika będącego właścicielem, a autoryzacja poszczególnych użytkowników dla tych trzech operacji opiera się na zabezpieczeniach na poziomie wierszy PostgreSQL. Migracje uruchamiają ALTER TABLE... ENABLE ROW LEVEL SECURITY i tworzą zasady porównujące app.current_user_id() z user_id, ale nigdy ALTER TABLE... FORCE ROW LEVEL SECURITY, a PostgreSQL nie stosuje zasad do roli będącej właścicielem tabeli. Szablon używa jednego DATABASE_URL zarówno do uruchamiania migracji tworzących tabele, jak i do aplikacji w czasie wykonywania, więc aplikacja łączy się jako właściciel tabel i zasady nie mają do niej zastosowania. cart_items.id i życzeń.id to kolejne wartości bigserial, dzięki czemu można wyliczyć identyfikatory wierszy należących do innych użytkowników, a ścieżka aktualizacji zwraca zmodyfikowany wiersz, który niesie identyfikator użytkownika, do którego należy. Powoduje to zniszczenie i modyfikację zawartości koszyka i listy życzeń należących do innych kont instalacji.