漏洞关键信息 1. 漏洞影响 受影响版本: mall-swarm <= 1.0.3 相关项目: https://github.com/macrozheng/mall-swarm 2. 漏洞位置 API端点: POST /member/readHistory/delete HTTP/1.1 3. 代码分析 问题代码段: 问题描述: 系统直接使用id删除历史数据，但没有验证数据属于当前登录用户。 4. 漏洞复现步骤 1. 步骤一: 以用户A登录。 2. 步骤二: 捕获当用户A删除他们的阅读历史时生成的请求。 3. 步骤三: 修改请求中的 参数，使其包含属于用户B的ID。 4. 步骤四: 将修改后的请求发送给服务器。 5. 步骤五: 观察到用户B的阅读历史条目在未经授权的情况下被删除。 5. 影响描述 影响: 该漏洞允许攻击者通过操纵请求中的 参数来删除其他用户的阅读历史，导致未经授权的数据访问和删除，从而引发访问控制的严重破坏。