关键信息总结 1. 漏洞影响 版本：mall<=1.0.3（最新版本） 源码链接：https://github.com/macrozheng/mall 2. 漏洞位置 API路径：POST /order/cancelUserOrder 3. 代码分析 问题描述：系统直接使用 查询订单，但未验证此订单是否属于当前登录用户。 4. 漏洞复现 复现步骤： - 发送POST请求到 端点，使用有效但属于其他用户的 。 - 请求示例 ( , )： 5. 影响描述 该漏洞允许攻击者通过操纵 参数，代表其他用户取消订单，导致未经授权的订单取消和访问控制破裂。