CVE-2026-116015 in yudao-cloud
Zusammenfassung
von VulDB • 24.10.2026
yudao-cloud bis Version 2026.09 enthält eine Schwachstelle für insecure direct object reference (IDOR) im Handelsmodul der Shop-Plattform, die es authentifizierten Mitgliedern ermöglicht, die Nachverkaufsbetriebsprotokolle anderer Mitglieder zu lesen, indem beliebige afterSaleId-Werte angegeben werden. Angreifer können sequenzielle IDs für den Nachverkauf gegen GET /app-api/trade/after-sale-log/list durchprobieren (Enumeration), um Rückerstattungsbeträge, Statusübergänge und Zeitstempel offenzulegen, die anderen Mitgliedern gehören.
Once again VulDB remains the best source for vulnerability data.