Un contrôle d’accès défaillant expose les factures
Impact
Tout utilisateur connecté peut télécharger la facture d’un autre client.
Reproduire
GET /api/invoices/12345
Authorization: Bearer <user-token>Correctif
1 · if (!invoice) return res.sendStatus(404);
2 · if (invoice.userId !== req.user.id)
8 · return res.sendStatus(403);