ecshop最新版本几处用户权限越权(其它版本亦可)

简要描述： 就是可以帮助管理员管理订单啥的，匿名活雷锋呐～ 详细说明： 当开启WAP功能手机商城时，未登录可对其它用户订单操作：查看非注册用户订单、取消任意用户订单、任意用户订单确认收货等。 漏洞存在于 /mobile/user.php 页面 1.查看非注册用户订单 elseif $act == 'orderlist' // /mobile/user.php 49行起 $recordcount = $db-getOne"SELECT COUNT FROM " .$ecs-table'orderinfo'. " WHERE userid = $SESSION'userid'";...