- Son 7 gün
- CWE-639
CVE-2026-116015
yudao-cloud'da after-sale-log listesi uç noktasında IDOR zafiyeti
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
yudao-cloud 2026.09 sürümüne kadar olan sürümlerde, mall trade modülünde güvenli olmayan doğrudan nesne referansı (IDOR) zafiyeti bulunmaktadır. Bu zafiyet, kimliği doğrulanmış üyelerin keyfi afterSaleId değerleri vererek diğer üyelerin satış sonrası işlem günlüklerini okumasına olanak tanır. Saldırganlar, GET /app-api/trade/after-sale-log/list uç noktasına karşı ardışık satış sonrası kimlikleri sıralayarak diğer üyelere ait iade tutarlarını, durum geçişlerini ve zaman damgalarını açığa çıkarabilir.
Kaynaktaki açıklama (İngilizce)
yudao-cloud through 2026.09 contains an insecure direct object reference vulnerability in the mall trade module that allows authenticated members to read other members' after-sale operation logs by supplying arbitrary afterSaleId values. Attackers can enumerate sequential after-sale IDs against GET /app-api/trade/after-sale-log/list to expose refund amounts, status transitions and timestamps belonging to other members.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| YunaiV yudao-cloud | ≤ 2026.09 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/df604fbd9824195ec3e48e2dfd3341c1d4e1edea Yama
- github.com/YunaiV/yudao-cloud/issues/344 Üçüncü taraf
- hackmd.io/…ao-cloud-mall-after-sale-log-cross-member-idor Üçüncü taraf
- vulncheck.com/…-2026.09-idor-via-after-sale-log-list-endpoint Üçüncü taraf
- github.com/…r/app/aftersale/AppAfterSaleLogController.java Diğer
- github.com/…de/dal/mysql/aftersale/AfterSaleLogMapper.java Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.