Чужой заказ в личном кабинете: страница открывается, границы нет

Личный кабинет кажется закрытым, потому что без входа его не пускает. Дальше логика часто простая: у заказа есть номер, страница строится по этому номеру, а проверка «этот заказ принадлежит этому человеку» где-то потерялась. Соседний номер открывается. Для владельца магазина это не абстрактная уязвимость. Это имена, телефоны, адреса и суммы.

Сканер главной такое почти не видит. Страница выглядит нормальной, отвечает быстро и не содержит слова «ошибка». Замечает либо клиент, либо проверка, которая специально смотрит роли: гость, покупатель, менеджер. У менеджера та же дыра бывает шире: выгрузка «всех заказов» по ссылке, которую можно переслать.

Что сделать, не дожидаясь новости от клиента

• Пройти два тестовых аккаунта и открыть заказ первого из-под второго.
• То же для счетов, обращений, файлов и смены адреса доставки.
• Проверить не только экран, но и адрес, которым пользуется приложение или обмен с 1С.
• Не чинить это скрытием номера. Скрытие не заменяет проверку владельца.

Именно такие сценарии Lexora закладывает в пентест сайта, когда есть кабинет или заказы. Ориентир - от $50 за конечную точку, с подтверждением руками и повторной проверкой после правки. Если кабинета нет, начинать с пентеста рано: новым клиентам сначала бесплатный аудит. Находку «чужой заказ» мы описываем как влияние на клиентов, а не как трюк, чтобы разработчик понял, что закрывать.