Pentest R110: Mass-Assignment-Whitelist auf 7 Katalog-Endpunkten

MEDIUM: PUT /api/stressfrei-emails/:id und 6 weitere Update-
Endpunkte (platform, tariff, contractCategory, cancellationPeriod,
contractDuration, email-providers) reichten req.body ungefiltert
an Prisma. Gleiche Bug-Klasse wie das gefixte M1-Finding, sieben
Stellen mehr. Nachgewiesen via provisionError-Feld ausserhalb des
TS-Types.

Fix: sieben Whitelists + pickXxxUpdate()-Helper in sanitize.ts,
in den jeweiligen Controllern eingehängt. Reuse der bewährten
pick()-Infrastruktur (Customer/User seit Runde 7).

EmailProvider bewusst OHNE stripHtmlFromStrings, weil Passwörter
und API-Keys legitim Sonderzeichen enthalten dürfen.

Doku: SECURITY-HARDENING.md § Runde 110 + docs/todo.md.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

backend/src/controllers/stressfreiEmail.controller.ts

@@ -4,6 +4,7 @@ import { logChange } from '../services/audit.service.js';
 import { ApiResponse, AuthRequest } from '../types/index.js';
 import { canAccessCustomer, canAccessStressfreiEmail } from '../utils/accessControl.js';
 import { ApiError } from '../utils/apiError.js';
+import { pickStressfreiEmailUpdate } from '../utils/sanitize.js';
 
 // Pentest 71.3 (INFO): `parseInt(...)` ohne NaN-Check gab bei
 // `/stressfrei-emails/abc/...` einen generischen 500 zurück.
@@ -105,7 +106,12 @@ export async function updateEmail(req: AuthRequest, res: Response): Promise<void
     const emailId = requireIdParam(req, res, 'id');
     if (emailId === null) return;
     if (!(await canAccessStressfreiEmail(req, res, emailId))) return;
-    const email = await stressfreiEmailService.updateEmail(emailId, req.body);
+    // Pentest R110 (MEDIUM, 2026-07-11): Mass-Assignment ohne Whitelist.
+    // `req.body` reichte ungefiltert an Prisma – Angreifer konnte
+    // beliebige Model-Felder (`provisionError`, `isProvisioned`,
+    // `emailPasswordEncrypted` …) durch. Jetzt strikt auf die vier
+    // vom Service akzeptierten Felder gefiltert.
+    const email = await stressfreiEmailService.updateEmail(emailId, pickStressfreiEmailUpdate(req.body));
     await logChange({
       req, action: 'UPDATE', resourceType: 'StressfreiEmail',
       resourceId: email.id.toString(),