关键信息总结 1. 漏洞影响 影响版本：mall <= 1.0.3 项目链接：https://github.com/macrozheng/mall 2. 漏洞位置 API 路径： 3. 代码分析 问题代码段： 问题描述：直接使用 查询订单，没有验证订单是否属于当前用户。 正确实现示例（对比）： 4. 漏洞复现 攻击者可以通过发送 GET 请求到 （其中 是其他用户的订单编号）来访问其他用户的订单详情。即使不是订单所属用户，也可以成功获取详情。 复现步骤： - USER-A 请求： - USER-B 请求： 5. 影响描述 此漏洞允许攻击者未经授权访问其他用户的订单详情，导致访问控制失效和敏感信息泄露的风险。