CVE-2025-61148

总结

# EduplusCampus 3.0.1 学生支付 API 中的不安全直接对象引用（IDOR）漏洞 EduplusCampus 3.0.1 学生支付 API 中存在一个不安全直接对象引用（IDOR）漏洞，允许已认证用户通过修改 `/student/get-receipt` 端点中的 `rec_no` 参数，访问其他学生的个人和财务记录。

• CVE-2025-61148PoC

  该漏洞存在于学生支付API中。应用程序未能正确验证请求收据的用户是否有权查看。通过修改API请求中的rec_no参数，攻击者可以访问其他用户的收据。