CVE-2026-116015
Beschrijving NL
yudao-cloud tot en met 2026.09 bevat een onveilige kwetsbaarheid voor directe objectreferentie in de mall-handelsmodule waarmee geverifieerde leden de after-sales-operatielogboeken van andere leden kunnen lezen door willekeurige afterSaleId-waarden te verstrekken. Aanvallers kunnen opeenvolgende after-sales ID's opsommen tegen GET /app-api/trade/after-sales-log/list om restitutiebedragen, statusovergangen en tijdstempels van andere leden bloot te leggen.
Origineel (Engels) tonen
yudao-cloud through 2026.09 contains an insecure direct object reference vulnerability in the mall trade module that allows authenticated members to read other members' after-sale operation logs by supplying arbitrary afterSaleId values. Attackers can enumerate sequential after-sale IDs against GET /app-api/trade/after-sale-log/list to expose refund amounts, status transitions and timestamps belonging to other members.