Pentest profundo para marketplaces que precisam isolar lojistas, validar split e bloquear fraude entre vendedores.

Em SaaS comum, o modelo de risco é simples: um cliente não pode ver dados do outro. Em marketplace, o modelo é triangular:

• Comprador → Lojista — comprador não pode ver dados de outros compradores; lojista não pode ver dados de outros compradores que não são dele
• Lojista → Lojista — vendedor A não pode ler/editar produtos, pedidos ou financeiro do vendedor B
• Plataforma → Lojista (financeiro) — split, comissão, saldo a receber e antecipação não podem ser manipulados pelo lojista

Cada vértice desse triângulo tem um padrão de bug específico. Marketplace que sofre ataque normalmente sofre via lojista comprometido ou criado para fraude — vetor que SaaS B2B comum nem precisa modelar.

Isolamento entre lojistas (cross-seller)

• BOLA — vendedor A vê pedidos, produtos, financeiro de vendedor B
• BOLA em endpoints de upload (imagens de outro lojista)
• Cross-seller via search/filter endpoints
• Cache poisoning entre lojistas (CDN, Redis)
• Vazamento via webhooks emitidos para outro lojista
• Bypass de namespacing em integrações (ERP, marketplace de marketplace)

Split de pagamento e comissão

• Manipulação de split (lojista recebe % maior que o configurado)
• Bypass de comissão por modificação de payload no checkout
• Race em distribuição de valor entre marketplace e lojista
• Manipulação de pedido após split processado
• Replay de webhook de subadquirente (PagSeguro, Mercado Pago, Stripe Connect)
• Manipulação de subadquirência (split entre múltiplos lojistas em 1 pedido)

Saque e antecipação

• Race condition em saque (double withdrawal)
• Manipulação de valor de saque vs saldo real
• Bypass de validação de PIX recebedor (saque para conta de terceiro)
• Antecipação de recebíveis — manipulação de taxa, abuse de fluxo
• Bypass de período de retenção

Antifraude e moderação

• Bypass de score por modificação de fingerprint
• BOLA em endpoint de regra antifraude (dump)
• Manipulação de status de moderação (auto-aprovação)
• Bypass de validação KYC do lojista
• Reuso de selfie/documento para criar múltiplas contas

Painel do lojista (seller center)

• BFLA em endpoints administrativos
• BOPLA — edição de campos privados (saldo, taxa, comissão)
• Mass assignment em update de produto
• CSV/PDF/XML injection em exports e relatórios
• SSRF via integração ERP configurável
• Path traversal em download de notas fiscais

Avaliações, reviews e disputa

• BOLA — editar review de outro lojista
• Manipulação de score por requisição em massa
• Bypass de moderação de review (HTML injection, XSS stored)
• Disputa fraudulenta — abuse de evidência
• Resposta de review como vendedor falso

Logística e envio

• Manipulação de frete (alterar valor após pedido)
• Bypass de validação de cep/região
• BOLA em endpoint de rastreamento
• Cross-seller leak via webhook de transportadora
• Manipulação de status (entregar pedido sem postar)

Cupom, voucher e cashback

• Reuso de cupom single-use
• Combinação de cupons mutuamente exclusivos
• Bypass de regra de elegibilidade (CPF, primeiro pedido)
• Race em uso de cupom limitado por estoque
• Manipulação de cashback em cancelamento