春秋航空APP预约打车可越权取消，最新版本。

用户A预约打车，信息如下。

点击取消，截断ID是4591，DROP掉这个POST。

更换用户B，随便取消一个预约，将ID改为4591。
 

用户A查看我的预约，状态为已取消。
 

漏洞证明：

用户A预约打车，信息如下。

点击取消，截断ID是4591，DROP掉这个POST。

更换用户B，随便取消一个预约，将ID改为4591。
 

用户A查看我的预约，状态为已取消。