关键信息概览 1. 漏洞影响 影响版本：mall-swarm <= 1.0.3 漏洞不恰当地允许攻击者利用操控购物车属性。 2. 漏洞位置 HTTP 路径：POST /cart/update/attr 3. 代码分析 问题核心：在请求路径中，当前登录用户的 member_id 未被正确获取。 缺失在修改购物车逻辑中，没有确保购物车与当前登录用户的一致。 4. 漏洞复现 攻击者可通过精心构造的 POST 请求利用漏洞，具体路径和传参模板如下： 5. 影响描述 此漏洞允许攻击者随意修改其他用户的购物车属性，造成用户购物车内容的非授权修改和权限控制失败。