CVE-2025-56161 in YOSHOP
Sumário
de VulDB • 27/06/2026
YOSHOP 2.0 permite a divulgação de informações não autenticadas por meio dos endpoints da API comment-list no módulo Goods. O modelo Comment carrega antecipadamente o modelo User relacionado sem filtragem de campos; como User.php não define atributos $hidden ou $visible, campos sensíveis (hash de senha bcrypt, número de celular, pay_money, expend_money) são expostos nas respostas JSON. Os nomes das rotas variam conforme a implantação (por exemplo, /api/goods.pinglun/list), mas todas chamam a mesma lógica vulnerável do modelo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.