关键漏洞信息 1. 漏洞影响 受影响的应用：youlai-mall (最新版本) 项目链接：https://github.com/youlaitech/youlai-mall 2. 漏洞位置 API接口： 3. 代码分析 文件位置： 路由和方法： 4. 漏洞原因和影响 缺少所有权检查：未验证提供的 是否属于当前登录用户，允许任意用户查询其他用户信息。 没有角色/权限控制：任何已认证的App用户可以查询任意 。 过度暴露认证数据：返回了包含 , , 和 的 ，可能引发账户存在映射攻击。 支持横向权限提升：攻击者可通过提供受害者 获得其 ，进而进行IDOR/BOLA攻击。 缺乏枚举/速率限制和审计：缺少明确错误码 ，可用于验证和枚举 。 5. 漏洞复现 前置条件： - 攻击者具有有效的App登录令牌（ ）。 - 受害者的 已知或可发现。 - 目标端点为 。 步骤：通过 获取其他用户认证信息。 - 使用用户A的凭证登录并获取有效令牌。 - 使用受害者B的 调用API。 - 观察返回的 响应，获取受害者B的认证信息。 6. 影响描述 未授权认证数据泄露：允许登录用户获取其他用户的认证数据。 横向权限提升：通过 和 映射关系，攻击者可更容易地发起后续攻击。 账户存在枚举：通过成功/错误码，可大规模验证 。 合规性和风险控制问题：暴露内部账户映射，缺乏审计和检测机制。 攻击面扩展：固定认证相关接口应限制或仅限内部使用，当前设计模糊了身份-资源边界。