Вопрос по админ панелям

[LightSpeed]

У кого-то есть доступ к админ-панели веб-сайта, где полные номера кредитных карт открыто видны — без какой-либо маскировки или шифрования. Какой тип уязвимости мог бы позволить такое?

 

[divx]

Ну например от слива базы данных чтобы скрыть данные карт используют в конфиге
$config["encode_key"] = "тут любой код";

в самих файлах cms делают код такого типа
<td class='tdCol' >{{card.dumpNum | slice(0,6)}}</td>
если цифру 6 в коде заменить на 16 то будет виден весь номер карты

{
    if ($act == "get")
    {
        $cardid = clean($_GET["cardid"]);
        $sql = "SELECT credit from " . $config["table_users"] . " WHERE userId = '" . clean($_SESSION["userId"]) . "'";
        $result = mysql_query($sql, $data_sql);
        if ($result)
        {
            $count = mysql_num_rows($result);
            if ($count == 1)
            {
                $credit = mysql_fetch_assoc($result);
                $credit = $credit["credit"];
                $sql = "SELECT *, AES_DECRYPT(cardContent, '$config[encode_key]') as cardContent from " . $config["table_card"] . " LEFT JOIN " . $config["table_categorys_card"] . " ON " . $config["table_card"] . ".categoryId = " . $config["table_categorys_card"] . ".categoryId WHERE (" . $config["table_card"] . ".cardUsed = '0' OR " . $config["table_card"] .
                    ".cardCUsed = '" . clean($_SESSION["userId"]) . "') AND " . $config["table_card"] . ".dumpId = '$cardid'";
                $result = mysql_query($sql, $data_sql);
                if ($result)

там вариантов куча и у всех cms по разному

 

[LightSpeed]

Ну например от слива базы данных чтобы скрыть данные карт используют в конфиге
$config["encode_key"] = "тут любой код";

в самих файлах cms делают код такого типа
<td class='tdCol' >{{card.dumpNum | slice(0,6)}}</td>
если цифру 6 в коде заменить на 16 то будет виден весь номер карты

там вариантов куча и у всех cms по разному

веб-сайт не мой, я просто хочу определить уязвимость, например, idor или что-то в этом роде?