Pentest R110: Mass-Assignment-Whitelist auf 7 Katalog-Endpunkten

MEDIUM: PUT /api/stressfrei-emails/:id und 6 weitere Update-
Endpunkte (platform, tariff, contractCategory, cancellationPeriod,
contractDuration, email-providers) reichten req.body ungefiltert
an Prisma. Gleiche Bug-Klasse wie das gefixte M1-Finding, sieben
Stellen mehr. Nachgewiesen via provisionError-Feld ausserhalb des
TS-Types.

Fix: sieben Whitelists + pickXxxUpdate()-Helper in sanitize.ts,
in den jeweiligen Controllern eingehängt. Reuse der bewährten
pick()-Infrastruktur (Customer/User seit Runde 7).

EmailProvider bewusst OHNE stripHtmlFromStrings, weil Passwörter
und API-Keys legitim Sonderzeichen enthalten dürfen.

Doku: SECURITY-HARDENING.md § Runde 110 + docs/todo.md.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

backend/src/controllers/emailProvider.controller.ts

@@ -10,6 +10,7 @@ import { decrypt } from '../utils/encryption.js';
 import { assertAllowedHost, safeResolveHost } from '../utils/ssrfGuard.js';
 import { emit as emitSecurityEvent, contextFromRequest } from '../services/securityMonitor.service.js';
 import { PrismaClient } from '@prisma/client';
+import { pickEmailProviderUpdate } from '../utils/sanitize.js';
 
 const prisma = new PrismaClient();
 
@@ -69,7 +70,9 @@ export async function createProviderConfig(req: Request, res: Response): Promise
 export async function updateProviderConfig(req: Request, res: Response): Promise<void> {
   try {
     const id = parseInt(req.params.id);
-    const config = await emailProviderService.updateProviderConfig(id, req.body);
+    // Pentest R110: Mass-Assignment-Whitelist. Kein stripHtml, weil das
+    // Payload Passwörter/API-Keys enthalten kann.
+    const config = await emailProviderService.updateProviderConfig(id, pickEmailProviderUpdate(req.body) as any);
     await logChange({
       req, action: 'UPDATE', resourceType: 'EmailProviderConfig',
       resourceId: id.toString(),