Spree Store API Cart Associate IDOR (CWE-639) Vulnerability and Fix Analysis

漏洞关键信息总结 漏洞概述 漏洞类型：越权访问 / 身份验证绕过（IDOR） 漏洞描述： 在 项目中，Store API 的 Cart Associate 端点（ ）存在安全漏洞。该端点允许将购物车与当前认证用户关联，但未验证请求者是否拥有该购物车的 token。 攻击场景： 攻击者只需知道目标购物车的 ID（ ），即可通过 API 请求将该购物车关联到自己的账户。 即使购物车已属于其他用户，攻击者仍可强制重新关联（re-associate），从而窃取或篡改他人购物车内容。 原代码仅检查 和 ，但未在“已关联”场景下强制验证 token 所有权。 修复前行为： → 仅按 ID 查找，不校验 token 归属。 --- 影响范围 受影响组件： 的 Store API（ ） 受影响版本： 及之前版本（根据提交信息推断） 影响用户：所有使用 Spree 作为电商后端、启用 Store API 且未额外加固的站点 风险等级：高危（可导致用户数据泄露、订单篡改、支付欺诈等） --- 修复方案 1. 核心修复：强制 Token 验证 在 方法中增加 token 校验逻辑： 2. 控制器层增强 在 动作中调用 ，确保只有持有正确 token 的用户才能执行关联操作： 3. API 文档更新 在 OpenAPI 规范中明确标注 为必需参数，并说明其用途： 4. 测试覆盖 新增测试用例验证： 无 token 时返回 token 不匹配时返回 已关联购物车再次关联时，若 token 错误则拒绝 --- POC / 利用代码（基于修复前逻辑） > ⚠️ 注意：此请求无需提供 ，即可将受害者购物车关联到攻击者账户。 --- 总结 该漏洞源于对“购物车所有权”的验证缺失，修复核心是强制绑定 token 与用户身份，确保只有原始创建者或持有有效 token 的用户才能操作购物车。建议所有 Spree 用户立即升级至包含此修复的版本，并在生产环境中启用严格的 API 认证机制。

Goal Reached Thanks to every supporter — we hit 100%!

Spree Store API Cart Associate IDOR (CWE-639) Vulnerability and Fix Analysis