脆弱性概要 CVE-2026-110119, CVE-2026-110120: yshopmall メンバーAPIで、住所およびアフターセールスエンドポイントにオブジェクトレベルの所有権チェックが欠落 タイプ: 権限回避制御 CWE: - CWE-639: ユーザー制御可能なキーによる認可の回避 - CWE-862: 認可の欠落 - CWE-200: 機密情報の公開 コンポーネント: 住所、アフターセールス 深刻度: 高 状態: 修正済み 報告者: hieuPenguinll プロジェクト: guchengwuyue/yshopmall, yshop-SpringBoot3 mail, メンバーアプリAPI（住所およびアフターセールスエンドポイント） 影響を受けるバージョン: 確認時点のHEADコミット（2026-09-08）における2.0.0。Gitリリースタグは存在しません。マスターブランチが出荷製品であり、pomのバージョンは2.0.0です。脆弱なアクセサには2019年および2021年の付与タグが付いているため、この欠陥は長年にわたって存在していました。導入範囲のバイセクションは行われていません。 クラス: CWE-639 ユーザー制御可能なキーによる認可の回避, CWE-862 認可の欠落, CWE-200 機密情報の公開 修正リンク: https://hackmd.io/@1ExmmukzRMWN7B4gQ4W-4Q/yshopmall-member-api-ownership-idor 影響範囲 メンバーアプリはJWTインターセプターによる認証が行われますが、特定オブジェクトに対する認可チェックは行われません。 住所の詳細取得は、所有者チェックなしで任意の住所を返します。 住所の削除および編集は、所有者チェックなしで任意の住所を変更できます。 アフターセールスの削除、物流情報の書き込み、および注文の取得は、所有者チェックなしで任意のレコードに対して操作を実行できます。 修正方針 住所の詳細取得：住所の詳細を取得する際、その住所が現在のユーザーに属しているか確認する必要があります。 住所の削除および編集：住所を削除または編集する際、その住所が現在のユーザーに属しているか確認する必要があります。 アフターセールスの削除、物流情報の書き込み、および注文の取得：これらの操作を実行する際、関連レコードが現在のユーザーに属しているか確認する必要があります。 POCコード まとめ 本脆弱性は、yshopmallのメンバーAPIにおける住所およびアフターセールスエンドポイントでオブジェクトレベルの所有権チェックが欠落していることが主な原因です。これにより、認可されていないユーザーが他のユーザーの住所やアフターセールスレコードを読み取り、変更、または削除することが可能になります。修正方針としては、関連操作に所有権チェックを追加し、現在のユーザーのみが自身のデータにアクセスおよび変更できるようにすることです。