CVE-2026-91154

Brak uwierzytelnienia dla funkcji krytycznej (CWE-306) w działaniu serwera ponownego sprawdzania poprawności pamięci podręcznej produktu (src/app/actions.ts, revalidateProducts) w szablonie e-commerce MarcosCamara01 przed zatwierdzeniem ec97209 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wymuszenie wygaśnięcia całej pamięci podręcznej produktów w sklepie w dowolnym momencie. Plik deklaruje „użyj serwera” w zakresie pliku, więc każda wyeksportowana funkcja kompiluje się do akcji serwera, którą można wywołać metodą POST; revalidateProducts wywołuje updateTag("products") bez sprawdzania sesji lub roli, w przeciwieństwie do akcji tylko do odczytu w tym samym pliku, które są bezpieczne z założenia. Dwa komponenty klienta w src/components/admin importują tę funkcję, co powoduje, że jej identyfikator akcji serwera jest kompilowany do publicznego fragmentu /_next/static, którego nie bramkuje oprogramowanie pośredniczące administratora aplikacji (proxy.ts), więc każdy nieuwierzytelniony użytkownik może wyodrębnić ten identyfikator z pakietu publicznego i bezpośrednio wywołać akcję. Po włączeniu cacheComponents cała witryna sklepowa (strona główna, kategorie, strony produktów, wyszukiwarka) jest obsługiwana z wpisów „użyj pamięci podręcznej” generowanych przez getAllProducts, getCategoryProducts i getProduct, wszystkie produkty oznaczone tagiem z godzinnym cacheLife. Powtarzające się nieuwierzytelnione wywoływanie funkcji revalidateProducts powoduje, że pamięć podręczna jest stale zimna, zmuszając każdego odwiedzającego do przeczytania pełnego katalogu produktów z Postgres zamiast udostępniania z pamięci podręcznej, co pogarsza dostępność witryny sklepowej przy niemal zerowym koszcie atakującego.