听说摩登天空送门票，赶紧滚来了，
摩登天空任意订单越权修改漏洞预警
。求今年门票！曼玉！女神！我来了！（漏洞演示使用的是自己的测试账户）故事是这样的，从前有一个帅比和一个丑比。一个帅比买了一张谢天笑，收货地址是海淀公园：
截包看信息，注意下id=22320：
一个猪B也注册了账号nt，随便买点什么，地址填通州运河公园。
丑比查看 “我的订单” ，将22308 改为 帅比的 22320：
丑比惊呆了！他看到了一个帅比的订单！这时的登陆账号仍然是丑比的账号！因为丑比是没有头像的~
修改地址到通州运河公园，电话改成15000000000，保存，
电脑资料
《摩登天空任意订单越权修改漏洞预警》(https://www.unjs.com)。一个丑比将收到帅比的 谢天笑！
下面我们登陆帅比的账户查看，帅比的头像是一匹英俊的小马，发现订单信息如下：
这是一个丑比逆袭的故事。
如果丑比更改的是帅比已经付款了的订单，那么他就真的逆袭了。
修复方案：
加强账户权限控制。