漏洞存在于 app/Lib/youhui/storeModule.class.php
send_store_sms方法

发送的短信内容是从客户端获取的。

$msg_data['content'] = addslashes($_REQUEST['sms_content']);

发送的手机号也是从客户端获取的，并且支持提交多个手机号

foreach($_REQUEST['mobile'] as $k=>$v)
        {
            if(trim($v)!=""){
                $msg_data['dest'] = $v;
                $GLOBALS['db']->autoExecute(DB_PREFIX."deal_msg_list",$msg_data); //鎻掑叆
            }
        }

所以可以沦为恶意用户群发垃圾短信的工具。
利用条件为：
1. 注册用户，需要使用其登录Cookie，因为有发送短信时后台有登录验证
2. 构造一个请求，请求发送短信的页面（http://网站URL/youhui.php?ctl=store&act=send_store_sms)
参数为sms_content=垃圾内容&mobile[]=手机号1&mobile[]=手机号2&mobile[]=手机号3&mobile[]=手机号4
因其有每个用户每日短信下载限额，所以需要多个用户，配合注册机和登录机器人使用
官方已发布补丁：地址