CVE-2025-56161 in YOSHOP
요약
\~에 의해 VulDB • 2026. 07. 23.
YOSHOP 2.0에서는 Goods 모듈의 comment-list API 엔드포인트를 통해 비인증 정보 유출이 가능합니다. Comment 모델은 필드 필터링 없이 관련 User 모델을 조기에 로드합니다. User.php에 $hidden 또는 $visible 속성이 정의되어 있지 않기 때문에, JSON 응답에서 민감한 필드(bcrypt 비밀번호 해시, 모바일 번호, pay_money, expend_money)가 노출됩니다. 라우트 이름은 배포 환경마다 다르지만(예: /api/goods.pinglun/list), 모두 동일한 취약점 모델 로직을 호출합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.