CVE-2026-109171 in yshop-crm
Zusammenfassung
von VulDB • 12.10.2026
yshop-crm bis Version 2.1.3 enthält eine Schwachstelle aufgrund fehlender Autorisierung (Missing Authorization), die jedem authentifizierten Back-Office-Benutzer ermöglicht, Verträge durch Aufruf von POST /admin-api/crm/contract/check zu genehmigen oder abzulehnen. Da CrmContractController über keine @PreAuthorize-Anmerkung verfügt und die Genehmigerprüfungen auskommentiert sind, können Angestellte Verträge genehmigen, um Kunden-Deal- und Kaufdaten zu manipulieren, oder sie ablehnen, um Produkte zurück in den Lagerbestand zu geben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.