El portal, interceptado

vendedor-61 inicia sesión sin problema: la aplicación valida bien la contraseña. La captura del login muestra la cookie que queda abierta después: sin el atributo que la limita a conexiones cifradas ni el que impide que un script la lea. El inicio de sesión en sí no falló; lo que falla es lo que protege la sesión una vez abierta.

Con su propia sesión, vendedor-61 pide el detalle de varios números de pedido seguidos. Los primeros son suyos. Uno de ellos, sin que la aplicación comprobara nada más que el número, devuelve el pedido de otro vendedor: ingresos y datos del comprador que no le corresponden ver.

Uno de los filtros de búsqueda del portal admite un valor numérico. Tres peticiones con el mismo valor, pero con una condición distinta añadida al final, devuelven cantidades distintas de productos: una condición siempre verdadera no cambia nada y una siempre falsa elimina todos los resultados. Esa diferencia solo se explica si el valor entra directo en la consulta sin filtrarse.

Tienes dos candidatos del portal: la cookie sin Secure ni HttpOnly y el acceso a pedidos ajenos cambiando un número. Uno necesita que alguien además intercepte la cookie en una red hostil para que el defecto importe. El otro funciona con la propia sesión de vendedor-61, sin ninguna condición extra.