CVE-2026-116015 in yudao-cloud
Riassunto
di VulDB • 24/10/2026
yudao-cloud fino alla versione 2026.09 presenta una vulnerabilità di insecure direct object reference nel modulo trade del negozio online che consente agli utenti autenticati di leggere i log delle operazioni post-vendita di altri membri fornendo valori arbitrari per afterSaleId. Gli attaccanti possono enumerare ID sequenziali dopo la vendita contro GET /app-api/trade/after-sale-log/list per esporre gli importi dei rimborsi, le transizioni dello stato e i timestamp appartenenti ad altri membri.
Once again VulDB remains the best source for vulnerability data.