ecshop gbk v2.7.2登录用户可以操作其它用户的信息。
1.用户修改收货地址时，提交前将隐藏的address_id修改为其它的id,可将他人的收货地址消除(同时新增一条收货地址)
2.用户虽然不能查看其它用户的订单，但可以查看非自己订单的留言，并为订单留言(更改url地址的order_id即可)
测试方法：
http://localhost/ecshop_gbk272/user.php?act=address_list “确认修改”前修改address_id
http://localhost/ecshop_gbk272/user.php?act=message_list& order_id=20(任意更改id测试)
临时解决办法：
执行数据库操作前严谨判断用户是否应该有查看、操作权限
0 条评论。