PT-2025-40399
CVE-2025-56161
·
تاريخ النشر
2025-10-02
·
تاريخ التحديث
2025-10-07
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
YOSHOP 2.0
الوصف
يسمح البرنامج بالكشف غير المصرح به عن المعلومات من خلال نقاط نهاية واجهة برمجة التطبيقات (API) لقائمة التعليقات ضمن وحدة ”السلع“. يقوم نموذج ’التعليق‘ (Comment) بتحميل نموذج ”المستخدم“ (User) ذي الصلة دون تصفية حقول محددة. ونظرًا لعدم وجود سمات
$hidden أو $visible في ملف User.php، يتم الكشف عن البيانات الحساسة، بما في ذلك تجزئات كلمات المرور bcrypt وأرقام الهواتف المحمولة وpay money وexpend money، في استجابات JSON. تختلف نقاط نهاية واجهة برمجة التطبيقات (API) باختلاف طريقة النشر، مثل /api/goods.pinglun/list، لكنها جميعًا تستخدم نفس منطق النموذج المعرض للخطر.التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾