Contract-rollback-guard checkte non-existerende enum-waarde 'ACTIVE' #128

New issue

Closed

opened 2026-05-26 18:23:56 +00:00 by jesse-a · 1 comment

jesse-a commented

2026-05-26 18:23:56 +00:00

Owner

Severity: LOW (was effectief no-op, dus geen exploit-pad)

In de DocuSeal-webhook checkte ik contract.status === "SIGNED" || contract.status === "ACTIVE" als rollback-guard. Maar ContractStatus heeft alleen: DRAFT|SENT|SIGNED|EXPIRED|TERMINATED|CANCELLED. ACTIVE bestaat niet, dus de || contract.status === "ACTIVE"-clausule was effectief altijd false. De guard werkte alleen voor SIGNED — wat in de praktijk de juiste eindstatus is. Geen real-world-impact, wel dood-code dat misleidend leesbaar was.

Fix: alleen status === "SIGNED" als skip-conditie + commentaar met de volledige enum-lijst.

Files: src/app/api/webhooks/docuseal/route.ts

**Severity: LOW** (was effectief no-op, dus geen exploit-pad) In de DocuSeal-webhook checkte ik `contract.status === "SIGNED" || contract.status === "ACTIVE"` als rollback-guard. Maar `ContractStatus` heeft alleen: `DRAFT|SENT|SIGNED|EXPIRED|TERMINATED|CANCELLED`. `ACTIVE` bestaat niet, dus de `|| contract.status === "ACTIVE"`-clausule was effectief altijd false. De guard werkte alleen voor `SIGNED` — wat in de praktijk de juiste eindstatus is. Geen real-world-impact, wel dood-code dat misleidend leesbaar was. **Fix**: alleen `status === "SIGNED"` als skip-conditie + commentaar met de volledige enum-lijst. **Files**: src/app/api/webhooks/docuseal/route.ts

jesse-a added the

fixed

security

severity-low

labels

2026-05-26 18:23:56 +00:00

jesse-a commented

2026-05-26 18:23:56 +00:00

Author

Owner

Opgelost in commit de87b11.

Opgelost in commit de87b11.