CVE-2026-116015 in yudao-cloud
الملخص
بحسب VulDB • 24/10/2026
يحتوي yudao-cloud حتى الإصدار 2026.09 على ثغرة مرجع كائن مباشر غير آمن (Insecure Direct Object Reference) في وحدة تجارة المتجر، مما يسمح للأعضاء المصادق عليهم بقراءة سجلات عمليات ما بعد البيع الخاصة بالآخرين عن طريق تقديم قيم afterSaleId عشوائية. يمكن للمهاجمين تعداد معرفات ما بعد البيع التسلسلية ضد نقطة النهاية GET /app-api/trade/after-sale-log/list لكشف مبالغ الاسترداد، وتحولات الحالة، والطوابع الزمنية التابعة لأعضاء آخرين.
If you want to get best quality of vulnerability data, you may have to visit VulDB.