MediaVDP25 min

Race Condition in Coupon Application

E-commerce donde el endpoint de aplicar cupon tiene un delay entre verificar si ya fue usado y aplicarlo, permitiendo aplicar el mismo cupon multiples veces con peticiones concurrentes hasta que el precio llegue a 0.

255 visitas17 completadosActualizado ago 2026

Iniciar sesión para empezar

Aprende a encontrar este bug

Un reporte real de bug bounty, reproducido para que lo practiques.

Crea tu cuenta y practica bugs reales que se pagaron. Descarga el entorno, encuéntralo y aprende la técnica exacta — tu camino a tu primer bounty.

hunters entrenando: 650
labs de reportes reales: 50
completaciones: 380
en bounties practicados: $200.000

40 flags capturadas esta semana

Crear cuenta

Ya tengo cuenta

Acceso a todos los labs · sin permanencia · cancela cuando quieras

Hunters que lo han resuelto· 8

VA1

@vazquezdv182005Hace 14 horas

@flyingwhalesHace 13 días

@kanekiHace 17 días

@r4mattraHace 21 días

@alndrwlaHace 23 días

@alex.burja.2000Hace 29 días

@w4tchw0lfjun 2026

@pl4nktonjun 2026

Objetivos

Crear un pedido y observar el flujo de cupones

Identificar el endpoint POST /api/orders/:id/apply-coupon

Enviar 20+ peticiones concurrentes para aplicar el mismo cupon

Verificar que el precio se redujo a 0

Logro que recibirás

Cuando resuelvas este lab desbloqueas este logro compartible

BBLABS.ESLab Resuelto

MediaVDP

// achievement_unlocked

Race Condition in Coupon Application

Race Condition

ago 2026

solved_by@gorkaMiembro desde mar 2026

bblabs.es// real bug bounty practice

Writeups de la comunidad

Despliegue

# Opcion 1: autodeploy
./autodeploy.sh

# Opcion 2: manual
docker compose up --build

# Acceder
https://localhost:1000

Compatible con macOS, Linux y Windows (Docker Desktop / WSL).

Para parar:

./autodeploy.sh destroy
# o: docker compose down -v

Contenido del Lab

La aplicacion

ShopZone es un e-commerce con cupones de descuento que se aplican a pedidos.

La vulnerabilidad

El endpoint verifica si el cupon ya fue aplicado, luego aplica el descuento con un delay artificial entre ambas operaciones. Peticiones concurrentes pasan la verificacion antes de que ninguna haya completado la aplicacion.

Cadena de ataque

1. Crear pedido (ej: 100 euros)
2. Obtener cupon de 20 euros
3. Lanzar 20+ peticiones concurrentes de aplicar cupon
4. Todas pasan el check al mismo tiempo
5. Cupon aplicado multiples veces\n6. Precio final: 0 euros

Solucion interactiva

Accede a /writeup dentro de la aplicacion para una guia paso a paso con botones interactivos.

Flag

(precio del pedido reducido a 0 euros)

Remediacion

Usar transacciones atomicas en la base de datos
SELECT FOR UPDATE para bloquear la fila
Optimistic locking con version numbers
Rate limiting por usuario + recurso