> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/web/business-logic/insufficient-workflow-validation.md).
# Unzureichende Workflow-Validierung
Notizen zur unzureichenden Workflow-Validierung für die Labs der PortSwigger Web Security Academy, einschließlich Ausnutzungsablauf, Payload-Tests, Burp-Suite-Validierung und Behebungskontext.
### Unzureichende Workflow-Validierung
**Beschreibung des Labs**
Dieses Lab basiert auf falschen Annahmen über die logische Reihenfolge der Phasen des Kaufprozesses. Die Anwendung überprüft vor der Validierung einer Bestellung nicht ordnungsgemäß, ob alle erforderlichen Bedingungen (einschließlich der tatsächlichen Zahlung) erfüllt wurden.
\*\* Ziel:\*\*/ Nutze diese Schwachstelle, um das Produkt zu kaufen \*\*
**Anmeldedaten bereitgestellt:**
* Benutzer: `wiener`
* Passwort: `peter`
**Analyse des Verhaltens der Anwendung**
* Wenn ein Benutzer versucht, einen Artikel ohne ausreichendes Guthaben zu bezahlen, gibt die Anwendung den folgenden Fehler zurück:
```bash
?err=INSUFFICIENT_FUNDS
Nicht genügend Shop-Guthaben für diesen Kauf
```
Die Bestellbestätigung basiert jedoch nur auf dem Aufruf der folgenden URL:
```bash
/cart/order-confirmation?order-confirmed=true
```
* Diese Seite prüft nicht, ob die Zahlung tatsächlich erfolgt ist oder ob das Guthaben ausreichend war.
**Funktionsweise des Fehlers**
1. Füge einen Artikel mit einem Preis von **1337 €** (z. B. die anvisierte Jacke).
Führe die Zahlung nicht normal aus (was aufgrund von fehlendem Guthaben fehlschlägt).
Greife direkt über eine **GET** Anfrage an die folgende URL zu:
`/cart/order-confirmation?order-confirmed=true`
* Die Anwendung validiert den Befehl dann, ohne zusätzliche Prüfungen durchzuführen.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/de/web/business-logic/insufficient-workflow-validation.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
