根据提供的截图，以下是关于该漏洞的关键信息，已用简洁的Markdown格式呈现： 漏洞概述 CVE ID: CVE-2025-70148 产品: CodeAstro Membership Management System 1.0 厂商: CodeAstro 漏洞类型: IDOR / 错误的访问控制 / 信息泄露 攻击向量: 远程，无需认证 CVSS v3.1: 7.5 CWE: CWE-639, CWE-862 发现者: MinhKhoa 日期: 2025-12-24 描述 CodeAstro Membership Management System 在 PHP 1.0 中的 文件存在错误访问控制漏洞。由于未实施正确的认证和授权检查，攻击者可以通过直接请求并修改 参数来访问任意用户的会员卡信息，导致私人可识别信息 (PII) 泄露。 根本原因分析 缺少认证/授权检查: 文件在访问会员数据前，未验证合法的认证会话。 不安全的直接对象引用 (IDOR): 通过用户输入直接获取并显示会员记录，缺少相应授权检查。 复现步骤 1. 获取会员卡（未认证）: 服务器将返回包含所请求会员的具体信息。 2. 通过 Burp 枚举另一会员卡（IDOR）: 服务器返回不同的会员卡信息，证实 IDOR 漏洞。 影响 未认证的攻击者能够披露任意会员的个人可识别信息 (PII)，包括但不限于： 姓名 出生日期 性别 联系电话 电子邮箱 地址 国家/邮政编码 职业 会员编号/类型 过期日期 个人资料图片文件名（如显示） 修复建议 1. 强制认证: 在 文件的开端实施会话检查（如 ，验证 是否已设置）。 2. 添加授权: 限制会员卡打印功能仅对特定角色（如管理员/员工）开放，或实施所有权规则。 3. 多层防御: - 服务器端启用日志记录/速率限制以阻止 ID 枚举。 - 如条件允许，考虑使用不可预测的标识符（UUID）。 参考链接 CWE-639: 通过用户可控键绕过授权（IDOR） CWE-862: 缺少授权 OWASP: 不安全的直接对象引用 (IDOR) 相关软件下载页面