CVE-2025-56161 in YOSHOP
要約
〜によって VulDB • 2026年06月22日
YOSHOP 2.0では、Goodsモジュールのcomment-list APIエンドポイントを通じて認証不要の情報漏洩が発生します。Commentモデルは関連するUserモデルをフィールドフィルタリングなしで eager loading（事前読み込み）しており、User.phpに$hiddenまたは$visible属性が定義されていないため、JSONレスポンスにおいて機密情報（bcryptパスワードハッシュ、携帯電話番号、pay_money、expend_moneyなど）が露出します。ルート名はデプロイメント環境によって異なります（例：/api/goods.pinglun/list）。ただし、すべて同じ脆弱なモデルロジックを呼び出しています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.