Crítico | Race condition em resgate de cupom
Requisições paralelas permitiam resgatar o mesmo cupom N vezes, gerando prejuízo direto.
Pentest de APIs de E-commerce de Alto Volume
CASE DEMONSTRATIVO — conteúdo preservado do portfólio original.
Varejo / E-commerce | Varejo online (nome sob NDA) | 2025-08-22
Pentest de caixa cinza em APIs REST/GraphQL responsáveis por checkout, cupons e programa de fidelidade.
Escopo
- 42 endpoints REST e 1 schema GraphQL
- Fluxos de autenticação OAuth2 + JWT
- Lógica de negócio: cupons, estorno, saldo de pontos
Metodologia
- Modelagem de ameaças por fluxo (STRIDE por caso de uso)
- Fuzzing autenticado com corpus derivado do OpenAPI
- Testes de IDOR, mass assignment e race conditions em cupom
Achados no cenário demonstrativo
Alto | IDOR em consulta de pedido via GraphQL
Query pedido(id:) não validava propriedade, expondo dados de outros clientes.
Resultado descrito
Correções aplicadas via lock pessimista no cupom e resolver com checagem de owner. Reteste confirmou remediação.
Stack: Burp Suite Pro · ffuf · GraphQL Voyager · k6
{ EOF — Built. Broken. Secured. }