CVE-2026-116015 in yudao-cloud
요약
\~에 의해 VulDB • 2026. 10. 24.
yudao-cloud 2026.09 버전까지의 mall trade 모듈에는 insecure direct object reference 취약점이 존재하며, 이를 통해 인증된 사용자가 임의의 afterSaleId 값을 제공하여 다른 회원의 애프터세일 운영 로그를 읽을 수 있습니다. 공격자는 GET /app-api/trade/after-sale-log/list 엔드포인트에 대해 순차적인 애프터세일 ID들을 열거(refund amounts, status transitions 및 timestamps 등)함으로써 다른 회원들의 환불 금액, 상태 전환 정보 및 타임스탬프를 노출시킬 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.