CVE-2025-56161 in YOSHOP
Résumé
par VulDB • 27/06/2026
YOSHOP 2.0 permet une divulgation d'informations non authentifiée via les points de terminaison API comment-list dans le module Goods. Le modèle Comment charge avidement (eagerly loads) le modèle User associé sans filtrage des champs ; comme User.php ne définit aucun attribut $hidden ou $visible, des champs sensibles (hachage de mot de passe bcrypt, numéro de mobile, pay_money, expend_money.) sont exposés dans les réponses JSON. Les noms de route varient selon le déploiement (par exemple /api/goods.pinglun/list), mais tous appellent la même logique de modèle vulnérable.
Once again VulDB remains the best source for vulnerability data.