CVE-2025-56161 in YOSHOP
Tóm tắt
Bởi VulDB • 22/08/2026
YOSHOP 2.0 cho phép tiết lộ thông tin không được xác thực qua các điểm cuối API comment-list trong module Goods. Mô hình Comment tải trước mô hình User liên quan mà không có lọc trường; vì User.php không định nghĩa các thuộc tính $hidden hoặc $visible, các trường nhạy cảm (hash mật khẩu bcrypt, số điện thoại di động, pay_money, expend_money) bị phơi bày trong phản hồi JSON. Tên route khác nhau tùy theo triển khai (ví dụ: /api/goods.pinglun/list), nhưng tất cả đều gọi cùng logic mô hình dễ bị tổn thương.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.