yudao-cloud through 2026.09 contains an insecure direct object reference vulnerability in the mall trade module that allows authenticated members to read other members' after-sale operation logs by supplying arbitrary afterSaleId values. Attackers can enumerate sequential after-sale IDs against GET /app-api/trade/after-sale-log/list to expose refund amounts, status transitions and timestamps belonging to other members.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
yunaiv:yudao-cloud
Ссылки 6
https://github.com/YunaiV/yudao-cloud/issues/344
NVD
https://github.com/YunaiV/yudao-cloud/commit/df604fbd9824195ec3e48e2dfd3341c1d4…
NVD
https://github.com/YunaiV/yudao-cloud/blob/593354d92a63f401ba73b95da868aade8c3d…
NVD
https://github.com/YunaiV/yudao-cloud/blob/593354d92a63f401ba73b95da868aade8c3d…
NVD
https://hackmd.io/@hieuPenguinnn/yudao-cloud-mall-after-sale-log-cross-member-i…
NVD
https://www.vulncheck.com/advisories/yudao-cloud-through-2026.09-idor-via-after…
VulnCheck Advisory: yudao-cloud through 2026.09 IDOR via after-sale-log list endpoint