Zywac

**Name of the Vulnerable Software and Affected Versions** YOSHOP 2.0 **Description** The software allows unauthorized disclosure of information through comment-list API endpoints within the Goods module. The Comment model loads the related User model without filtering specific fields. Due to the absence of `$hidden` or `$visible` attributes in the User.php file, sensitive data, including bcrypt password hashes, mobile numbers, pay money, and expend money, are exposed in JSON responses. The API endpoints vary depending on the deployment, such as `/api/goods.pinglun/list`, but all utilize the same vulnerable model logic. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do Software Vulnerável e Versões Afetadas** YOSHOP versão 2.0 **Descrição** O software está suscetível a uma injeção de SQL não autenticada através do parâmetro `goodsIds` do endpoint da API `/api/goods/listByIds`. A função `getListByIds` concatena inadequadamente a entrada fornecida pelo usuário em uma consulta ao banco de dados, especificamente dentro de `orderRaw('field(goods id, ...)').` Isso permite que atacantes potencialmente enumerem ou modifiquem dados do banco de dados, incluindo a obtenção de hashes de senha de administrador. A exploração também pode permitir a gravação de arquivos web-shell ou a invocação de `xp cmdshell`, potencialmente levando à execução remota de código em servidores com privilégios elevados de banco de dados. **Recomendações** Aplique uma correção para sanitizar adequadamente a entrada do usuário para o parâmetro `goodsIds` no endpoint `/api/goods/listByIds`. Corrija a concatenação inadequada da entrada do usuário dentro da função `getListByIds`. Revise e restrinja os privilégios do banco de dados para minimizar o impacto de uma possível exploração.