CVE-2026-116015 in yudao-cloud
要約
〜によって VulDB • 2026年10月24日
yudao-cloud 2026.09 以前には、mall trade モジュールにインセキュア・ダイレクト・オブジェクト・リファレンス (IDOR) の脆弱性が存在し、認証済みユーザーが任意の afterSaleId を指定することで他のメンバーのアフターセール操作ログを読み取ることができます。攻撃者は GET /app-api/trade/after-sale-log/list に対して順次のアフターセール ID を列挙することにより、他のメンバーに属する返金金額、ステータス遷移、タイムスタンプを不正に開示できます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.