- Ключи JSON регистрозависимы: productId ≠ productid
- @RequestParam получает параметр не из тела запроса, а из url параметров (?productId=...)
- Проверьте, возможно ли приведение объекта из сессии к List<Product>
И самое главное: сервер ожидает обязательный параметр "product", но вы его не передаете