关键漏洞信息 漏洞描述 类型: 缺少授权 (Missing Authorization) 影响: 通过操纵 参数，任何用户可以访问系统中的其他订单。这可能导致未经授权的访问和数据泄露。 影响产品 名称: macrozheng mall 版本: v2.0.0 链接: https://github.com/macrozheng/mall CVE 分类 CWE-863: 外部实体对资源的不当控制 CVSS v3.1: - 基本分数: 7.5 - 攻击向量: 网络 - 攻击复杂度: 低 - 权限要求: 无 - 用户交互: 无 - 机密性影响: 高 - 完整性影响: 低 - 可用性影响: 低 漏洞分析与验证 1. 问题描述: - 订单查询接口缺少权限校验，导致任何用户可以通过修改 参数查看其他用户的订单详情。 - 示例请求和响应展示了如何通过修改 获取不同用户的订单信息。 2. 代码分析: - 类中的 方法未进行权限校验，直接返回订单详情。 - 示例代码展示了如何通过 参数查询订单，并返回包含敏感信息的订单详情。 3. 修复建议: - 在查询订单时增加权限校验，确保只有订单所属用户才能查看订单详情。 - 示例代码展示了如何在 方法中添加权限校验逻辑。 其他信息 标签: security, bug 项目: macrozheng/mall 里程碑: v2.0.0 ``` 这些信息总结了漏洞的关键点，包括其类型、影响范围、受影响的产品版本、CVE分类、详细分析以及修复建议。