WxAuth 控制器 7⁄4 ̄ ̧漯B
作者: kingkingkingson创建于 2026年1月22日更新于 2026年1月27日
问题描述 在WxAuthController中的profile接口中，直接不经过任何身份验证就传入了用户iduserId，并根据这个userId查询用户，修改用户数据。如果已登录的用户A通过直接调用接口传递用户B的userId，那么就可能造成潜在的跨用户数据修改的越权漏洞。 # 相关代码片段 - 在下面的代码片段中，直接传入了userId，而没有添加任何userid与当前实际登录用户的校验
内容来源: linlinjava/litemall